Zašto ponovno spajanje na VPN ponovno traži akreditive

Tunel koji je radio satima traži lozinku u trenutku kad se prijenosnik probudi, a ništa u konfiguraciji nije promijenjeno. Promijenilo se stanje akreditiva koje je ponovno spajanje pokušalo ponovno upotrijebiti. Time upravljaju tri vrste materijala, a samo jedna od njih preživljava proizvoljnu stanku.

Pročitajte koju je klijent zatražio, jer sve tri istječu po različitim satovima i odbijaju se različitim porukama.

Tri vrste materijala koji se može ponovno upotrijebiti

Predmemorirana lozinka tajna je koju drži klijent i vrijedi dok je račun ne promijeni. Sesijski token izdaje poslužitelj nakon uspješne prijave, nosi vlastiti rok i može se opozvati u svakom trenutku. TLS sesijska karta ili IKE sigurnosna asocijacija protokolno je stanje, jeftino za nastavak i potpuno neovisno o vašoj lozinci. Svaku izdaje druga komponenta i svaka istječe pod vlastitim uvjetima.

Prva preživljava restart, druga obično preživljava suspenziju, a treća možda uopće ne preživi promjenu mreže. Njihovo miješanje daje pogrešan ispravak, poput poništavanja lozinke koja nikada nije odbijena.

Sam upit je dijagnoza. Prozor preglednika ili kod drugog faktora znači da je poslužitelj zahtijevao interaktivnu autentifikaciju, dok tiha pogreška bez upita znači da klijent nikada nije stigao dovoljno daleko da bude pitan.

Obnavljanje ključeva nije ponovna autentifikacija

Obnavljanje ključeva zamjenjuje ključeve zadržavajući autentificirani identitet, zato se na zdravom tunelu s vremena na vrijeme događa tiho. Ponovna autentifikacija ponavlja samu provjeru identiteta i to je događaj koji treba vas. IKEv2 izričito razdvaja to dvoje, a partner može zahtijevati potpunu ponovnu autentifikaciju u zadanom intervalu neovisno o tome koliko je obnavljanja ključeva bilo između. Izvana su ta dva događaja jednaka dok ne pročitate koje od njih dnevnik imenuje.

OpenVPN ponaša se isto u vlastitom rječniku: interval ponovnog pregovaranja osvježava podatkovni kanal, a autentifikacijski token može se vratiti klijentu kako bi se izbjegla potpuna prijava pri sljedećoj vezi. Taj token ima rok i poslužitelj odlučuje hoće li ga ponovno prihvatiti.

Tako ponovno spajanje nakon osam sati može pasti ondje gdje je ponovno spajanje nakon osam minuta uspjelo, bez ikakve promjene konfiguracije ni na jednoj strani. To je cijelo objašnjenje za upit koji se pojavljuje samo poslije ručka.

Kada klijent ne može dovršiti novi izazov

Pravilo koje zahtijeva korak u pregledniku pasti će na klijentu koji ga nema kako prikazati. Poslužitelji bez sučelja, skripte za pokretanje i stari profili građeni za autentifikaciju samo lozinkom svi udaraju u taj zid, a pogreška se često pojavljuje kao opće istekanje vremena, a ne kao pogreška autentifikacije.

Prijelazi uređaja i mreže također mogu pasti unutar prozora procjene pravila, pa se prelazak s Wi-Fi na pristupnu točku poklapa s provjerom koja bi se ionako dogodila. Ta slučajnost čini mrežu krivom kad je uzrok mjerač vremena.

openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth"
ipsec statusall | grep -i -E "rekey|reauth"

Prvi redak prikazuje događaje ponovnog pregovaranja i autentifikacije u klijentovu vlastitom dnevniku, a drugi prikazuje sigurnosne asocijacije koje strongSwan partner trenutačno drži. Usporedite vremenske oznake s trenutkom pojave upita; podudaranje potvrđuje mjerač vremena, a ne mrežu.

Što prijaviti i što ne isključivati

Ako ručna prijava uspijeva, a automatska ponovna uporaba dosljedno pada, recite to točno operateru. To imenuje komponentu: put ponovne uporabe, ne akreditive. Uključite vrijeme kvara, korišteni račun i vrstu upita koju ste vidjeli.

Ne isključujte drugi faktor, ne preskačite provjeru certifikata i ne lijepljite akreditive u skriptu da bi povezivanje bilo tiho. Svako od toga uklanja provjeru koju pravilo postoji da provede, i svako pretvara upit za prijavu u incident.

Zatražite umjesto toga podržani tok: klijenta koji može dovršiti izazov, rok tokena koji odgovara radnom danu ili odobreni neinteraktivni profil za stroj koji ne može pitati. Sve su to konfiguracijske odluke koje netko može odobriti, što zaobilazno rješenje nije.