VPN दोबारा कनेक्ट होने पर क्रेडेंशियल फिर क्यों मांगे जाते हैं
सहेजा गया पासवर्ड और दोबारा इस्तेमाल होने वाला टोकन अलग-अलग समय-सारिणी पर समाप्त होते हैं। क्लाइंट पर कुछ भी बदलने से पहले पढ़ें कि दोबारा कनेक्ट ने कौन-सी सामग्री मांगी थी।
घंटों चलने वाला टनल लैपटॉप के जागते ही पासवर्ड मांगता है, और कॉन्फ़िगरेशन में कुछ नहीं बदला। जो बदला है वह उस क्रेडेंशियल की स्थिति है जिसे दोबारा कनेक्ट ने दोबारा इस्तेमाल करने की कोशिश की। तीन तरह की सामग्री इसे नियंत्रित करती है, और उनमें से सिर्फ़ एक ही किसी भी अंतराल को झेलती है।
पढ़ें कि क्लाइंट ने कौन-सी मांगी, क्योंकि तीनों अलग-अलग घड़ियों पर समाप्त होती हैं और अलग-अलग संदेशों के साथ विफल होती हैं।
तीन तरह की दोबारा इस्तेमाल होने वाली सामग्री
कैश में रखा पासवर्ड क्लाइंट के पास रहने वाला रहस्य है, और वह तब तक मान्य रहता है जब तक खाता उसे न बदले। सत्र टोकन सर्वर सफल लॉगिन के बाद जारी करता है, उसका अपना जीवनकाल होता है और उसे किसी भी क्षण रद्द किया जा सकता है। TLS सत्र टिकट या IKE सुरक्षा संबंध प्रोटोकॉल की स्थिति है, फिर से शुरू करने में सस्ती और आपके पासवर्ड से पूरी तरह स्वतंत्र। हर एक अलग घटक जारी करता है, और हर एक अपनी शर्तों पर समाप्त होती है।
पहला रीबूट झेलता है, दूसरा आम तौर पर सस्पेंड झेलता है, और तीसरा नेटवर्क बदलने पर शायद बिल्कुल न झेले। इन्हें मिला देना गलत समाधान देता है, जैसे ऐसा पासवर्ड रीसेट करना जो कभी अस्वीकार नहीं हुआ था।
संकेत ही निदान है। ब्राउज़र विंडो या दूसरे कारक का कोड मतलब सर्वर ने इंटरैक्टिव प्रमाणीकरण मांगा, जबकि संकेत के बिना शांत विफलता का मतलब क्लाइंट इतना दूर नहीं पहुंचा कि उससे पूछा जाए।
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
कुंजी नवीनीकरण पुनः प्रमाणीकरण नहीं है
कुंजी नवीनीकरण कुंजियाँ बदलता है पर प्रमाणित पहचान बनाए रखता है, इसीलिए स्वस्थ टनल पर वह समय-समय पर चुपचाप होता है। पुनः प्रमाणीकरण पहचान के जाँच को ही दोहराता है, और वही घटना आपकी ज़रूरत है। IKEv2 दोनों को स्पष्ट रूप से अलग करता है, और साथी तय अंतराल पर पूरा पुनः प्रमाणीकरण माँग सकता है, चाहे बीच में कितने भी कुंजी नवीनीकरण हुए हों। लॉग यह न बताए कि कौन-सी घटना है, तब तक दोनों बाहर से एक जैसी दिखती हैं।
OpenVPN अपनी शब्दावली में इसी तरह व्यवहार करता है: पुनः बातचीत का अंतराल डेटा चैनल को ताज़ा करता है, और अगले कनेक्शन पर पूरा लॉगिन टालने के लिए प्रमाणीकरण टोकन क्लाइंट को लौटाया जा सकता है। उस टोकन का जीवनकाल होता है, और सर्वर तय करता है कि उसे दोबारा स्वीकार करना है या नहीं।
इसलिए आठ घंटे बाद का पुनः कनेक्शन वहाँ विफल हो सकता है जहाँ आठ मिनट बाद का पुनः कनेक्शन सफल हुआ था, किसी भी पक्ष में कॉन्फ़िगरेशन बदले बिना। दोपहर के भोजन के बाद ही दिखने वाले संकेत की पूरी व्याख्या यही है।
जब क्लाइंट नई चुनौती पूरी नहीं कर सकता
ब्राउज़र चरण मांगने वाली नीति ऐसे क्लाइंट पर विफल होगी जिसके पास उसे दिखाने का कोई तरीका नहीं है। हेडलेस सर्वर, स्टार्टअप स्क्रिप्ट और सिर्फ़ पासवर्ड प्रमाणीकरण के लिए बनी पुरानी प्रोफ़ाइलें सभी उसी दीवार से टकराती हैं, और विफलता अक्सर प्रमाणीकरण त्रुटि के बजाय सामान्य समय-समाप्ति के रूप में दिखती है।
डिवाइस और नेटवर्क के बदलाव भी नीति मूल्यांकन खिड़की में आ सकते हैं, इसलिए Wi-Fi से हॉटस्पॉट तक जाना ऐसी जाँच के साथ मेल खाता है जो वैसे भी होती। यह संयोग नेटवर्क को दोषी दिखाता है जबकि कारण टाइमर है।
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
पहली पंक्ति क्लाइंट के अपने लॉग में पुनः बातचीत और प्रमाणीकरण की घटनाएँ दिखाती है, और दूसरी वे सुरक्षा संबंध दिखाती है जो strongSwan साथी इस समय रखता है। समय-चिह्नों की तुलना उस क्षण से करें जब संकेत दिखा था; मेल खाना नेटवर्क नहीं, टाइमर की पुष्टि करता है।
क्या रिपोर्ट करें, और क्या बंद न करें
अगर हाथ से लॉगिन सफल होता है और स्वचालित पुनः उपयोग लगातार विफल होता है, तो ऑपरेटर से ठीक यही कहें। यह घटक का नाम लेता है: पुनः उपयोग का मार्ग, क्रेडेंशियल नहीं। विफलता का समय, इस्तेमाल हो रहा खाता और आपने जो संकेत देखा उसका प्रकार शामिल करें।
पुनः कनेक्शन को शांत करने के लिए दूसरा कारक बंद न करें, प्रमाणपत्र सत्यापन न छोड़ें और स्क्रिप्ट में क्रेडेंशियल न चिपकाएँ। इनमें से हरेक उस जाँच को हटाता है जिसे लागू करने के लिए नीति मौजूद है, और हरेक लॉगिन संकेत को घटना में बदल देता है।
इसके बजाय समर्थित प्रवाह मांगें: ऐसा क्लाइंट जो चुनौती पूरी कर सके, कार्यदिवस से मेल खाता टोकन जीवनकाल, या ऐसी मशीन के लिए स्वीकृत ग़ैर-इंटरैक्टिव प्रोफ़ाइल जो पूछ नहीं सकती। ये सब कॉन्फ़िगरेशन के निर्णय हैं जिन्हें कोई स्वीकृत कर सकता है, जो कोई कामचलाऊ उपाय नहीं है।