טיימר החיבור של ה-VPN ואסימון האימות פגים בנפרד

ניתוק VPN יכול לקרות מסיבות שנראות זהות מהצד של הלקוח ואין להן דבר משותף מתחת לפני השטח: הפעלת המנהרה הסתיימה, טיימר חוסר פעילות הופעל, או אישור שהלקוח עשה בו שימוש חוזר התיישן. לכל אחת יש בעלים אחר ותיקון אחר. דווקא רצף השגיאות ברגע הניתוק הוא מה שמפריד ביניהן, והוא בדרך כלל שורה אחת.

שלושה שעונים פועלים מול מנהרה אחת, ורק אחד מהם הוא המנהרה.

שלושה שעונים שונים על מנהרה אחת

שעון החיבור שייך לשער: משך חיבור מרבי, פסק זמן של חוסר פעילות או שניהם, והוא מסיים את המנהרה כשמגיעים לאחד מהם. שעון האסימון שייך למערכת האימות, והוא קובע כמה זמן אפשר להציג אישור שוב בלי אדם. שעון הנתיב שייך לכל NAT או חומת אש שנמצאת בין הלקוח לשער, והוא מפקיע את המיפויים של זרימות שהוא מחשיב כמושלמות. שלושתם יוצרים ניתוק, ואף אחד מהם לא יוצר את אותה שורת יומן.

רק הראשון הוא מושג של VPN. השניים האחרים שאולים מתחום הזהות והרשתות, ולעיתים קרובות טועים בהם.

איך האסימון באמת נעשה בו שימוש חוזר

שרתי OpenVPN יכולים להנפיק אסימון אימות לאחר ההתחברות הראשונית, כך שמשא ומתן מחדש של ערוץ הבקרה לא מבקש שוב אישורים מהמשתמש. הלקוח ממשיך להציג את האסימון הזה והשרת קובע כמה זמן הוא נשאר מקובל. כאשר תוחלת החיים של האסימון קצרה מהמרווח בין סבבי המשא ומתן, סבב המשא ומתן הבא נכשל והלקוח מדווח על שגיאת אימות במקום על פסק זמן. לכן אותו פרופיל עובד שעה ואז נכשל בנקודה קבועה.

המרווח בין סבבי המשא ומתן הוא הגדרה נפרדת. שינוי שלו מזיז מתי מציגים את האסימון, לא כמה זמן הוא חי.

איך נראית כל פקיעה מהצד של הלקוח

פסק זמן של חיבור מגיע בדרך כלל כניתוק נקי עם סיבה מצד השרת, לעיתים קרובות אחרי משך צפוי ובלי שום שגיאת אימות. פסק זמן של חוסר פעילות נראה כמו שתיקה: המנהרה מפסיקה לשאת תעבורה, ואז מנגנון השמירה מוותר. פקיעת אסימון מגיעה כ-AUTH_FAILED באמצע חיבור שעבד שנייה קודם.

קראו את השורה ואז הביטו בשעון. משך שמתאים לערך מוגדר אינו מקרה.

למה סיסמה שמורה לא עוזרת

סיסמה במטמון עונה לאתגר על סיסמה. היא לא מאריכה את תוחלת החיים של אסימון ולא עומדת באתגר של גורם שני או בדיקת מצב של המכשיר. העלאת תדירות הניסיונות החוזרים, קיצור פסקי הזמן של החיבור או ייבוא מחדש של הפרופיל לא משנים דבר בשאלה כמה זמן מערכת הזהות תקבל את האישור.

התיקונים העמידים הם תוחלת החיים הנכונה על האובייקט הנכון, או זרימת לקוח שיכולה להשלים את האתגר הנדרש בלי אדם.

מה לתעד ולבדוק

רשמו את כל שלושת הערכים: מגבלות החיבור וחוסר הפעילות של השער, תוחלת החיים של האסימון, ופסק הזמן הקצר ביותר של מיפוי שרלוונטי בנתיב. אחר כך בדקו כל פקיעה בכוונה על ידי קיצור ערך אחד, התבוננות במה שהלקוח מדווח, והחזרתו. אשרו מה המשתמש חייב לעשות בכל גבול, כי לדרוש התחברות מלאה כל שעה היא החלטת מדיניות שמישהו היה צריך לקבל בכוונה.

ניתוק שמגיע בלי שום אירוע אימות בכלל שייך לנתיב או לטיימר חוסר הפעילות, וזו חקירה אחרת עם ראיות אחרות.