VPN sesijski tajmer i token za autentifikaciju istječu odvojeno
Ograničenje sesije na gejtveju, tajmer mirovanja i token za autentifikaciju koji se može ponovo koristiti istječu po različitim pravilima. Linija greške pri prekidu kaže koje je od njih uzrok.
Prekid VPN-a može nastati iz razloga koji s klijentske strane izgledaju isto, a ispod nemaju ništa zajedničko: sesija tunela je završila, aktivirao se tajmer mirovanja ili su zastarjeli akreditivi koje je klijent ponovo koristio. Svaki razlog ima drugog vlasnika i drugo rješenje. Redoslijed grešaka u trenutku prekida je ono što ih razdvaja, i obično je to jedan red.
Tri sata rade protiv jednog tunela, a samo jedan od njih je tunel.
Tri različita sata na jednom tunelu
Sat sesije pripada gejtveju: maksimalno trajanje veze, tajmaut mirovanja ili oboje, i prekida tunel kada se dosegne bilo koje od toga. Sat tokena pripada sistemu autentifikacije i odlučuje koliko dugo se akreditiv može ponovo predočiti bez čovjeka. Sat putanje pripada bilo kojem NAT-u ili zaštitnom zidu između klijenta i gejtveja, i istječe mapiranja za tokove koje smatra završenim. Sva tri proizvode prekid veze, a nijedan ne daje isti red u zapisniku.
Samo je prvi pojam VPN-a. Druga dva su posuđena iz identiteta i umrežavanja i rutinski se brkaju s njim.
Kako se token zapravo ponovo koristi
OpenVPN serveri mogu izdati token za autentifikaciju nakon početne prijave, pa ponovno pregovaranje kontrolnog kanala ne traži od korisnika akreditive ponovo. Klijent nastavlja predočavati taj token, a server odlučuje koliko dugo ostaje prihvatljiv. Kada je životni vijek tokena kraći od intervala ponovnog pregovaranja, sljedeće pregovaranje ne uspijeva i klijent prijavi grešku autentifikacije umjesto tajmauta. Zato isti profil radi sat vremena, a zatim pada u fiksnoj točki.
Interval ponovnog pregovaranja je zasebna postavka. Njegova promjena pomjera kada se token predočava, a ne koliko dugo živi.
Kako svaki istek izgleda s klijentske strane
Tajmaut sesije obično dolazi kao čist prekid sa razlogom na strani servera, često nakon predvidivog trajanja i bez greške autentifikacije. Tajmaut mirovanja izgleda kao tišina: tunel prestaje prenositi promet, a zatim keepalive odustaje. Istek tokena dolazi kao AUTH_FAILED usred sesije koja je radila sekundu prije.
Pročitajte red, pa pogledajte na sat. Trajanje koje se poklapa s konfiguriranom vrijednošću nije slučajnost.
Zašto sačuvana lozinka ne pomaže
Keširana lozinka odgovara na izazov za lozinku. Ona ne produžava životni vijek tokena i ne zadovoljava izazov za drugi faktor ili provjeru stanja uređaja. Povećanje učestalosti ponovnih pokušaja, skraćivanje tajmauta veze ili ponovni uvoz profila ne mijenja ništa u tome koliko dugo će sistem identiteta prihvatati akreditiv.
Trajna rješenja su pravi životni vijek na pravom objektu ili klijentski tok koji može obaviti traženi izazov bez čovjeka.
Šta dokumentirati i testirati
Zapišite sve tri vrijednosti: ograničenja sesije i mirovanja na gejtveju, životni vijek tokena i najkraći relevantni tajmaut mapiranja na putanji. Zatim namjerno testirajte svaki istek skraćivanjem jedne vrijednosti, gledajući šta klijent prijavljuje, i vraćanjem vrijednosti. Potvrdite šta korisnik mora učiniti na svakoj granici, jer zahtijevati punu prijavu svakog sata je politička odluka koju je neko trebao svjesno donijeti.
Prekid koji dođe bez ikakvog događaja autentifikacije pripada putanji ili tajmeru mirovanja, a to je druga istraga s drugim dokazima.