Kizárva egy VPN-újrapróbálkozási hurok miatt: először állítsa le a klienst

02:40-kor a fiók zárolódik, és senki nincs a billentyűzetnél. Egy polcon álló kliens továbbra is előadja a múlt hónapban mentett jelszót, az átjáró továbbra is elutasítja, és a zárolás mögötti számláló emberi közreműködés nélkül emelkedik. Ez újrapróbálkozási hurok, nem támadás, és le kell állítani, mielőtt a fiók helyreállítható.

Kezelje két problémaként, rögzített sorrendben. Először állítsa le a küldőt, aztán állítsa helyre a hozzáférést, mert a fordított sorrend néhány percen belül újraindítja a hurkot.

Állapítsa meg, melyik folyamat küldi a hibákat

Kezdje az identitásrendszer időbélyegeivel, és vesse össze őket minden klienssel, amelynél a fiók van. Egy felügyelt profil, egy felügyelet nélküli szolgáltatás, egy fiókban lévő telefon és egy tartalék laptop régi hitelesítő adatokkal mind ugyanazon személyként tud hitelesíteni. Amelyik néhány másodpercenként meghiúsul, az a hurok, és amelyik naponta egyszer hiúsul meg, az általában egy ember, aki elfelejtette. Mindkettő ugyanazt a számlálót táplálja, és ebben van a csapda.

Különböztesse meg az elutasítást az elérhetetlen átjárótól, miközben nézi. Az időtúllépés, a névfeloldási hiba vagy egy zárt port általában nem növeli a hibaszámlálót, míg egy befejezett hitelesítési csere, amely rossz hitelesítő adat eredményét adja vissza, igen. A kettő keverése rossz javítást eredményez, mert az egyik a kliens leállítását, a másik az útvonal javítását igényli.

Három feltétel, amely eldönti a választ

Három tény szűkíti ezt egyetlen válaszra. Először, hogy a rekord kifejezett elutasítást vagy átviteli hibát mutat-e. Másodszor, hogy az identitás megosztott-e eszközök vagy szolgáltatások között. Harmadszor, hogy az újrapróbálkozó kliens az Ön által felügyelt-e, vagy olyan, amelyet valaki más irányít.

Egyetlen, az Ön által irányított kliens kifejezett elutasítása azt jelenti, hogy állítsa le azt a klienst, nyissa fel a zárolást a jóváhagyott úton, és hajtson végre egyetlen szándékos bejelentkezést. A megosztott identitás a választ a kiépítés felé tolja a feloldás helyett, mert a hurok abban a pillanatban folytatódik, amikor a másik eszköz újracsatlakozik. Az átviteli hibák a hálózati rétegre mutatnak, ahol a fiókvédelem egyáltalán nem téma.

Egyik ág sem jár a védelem gyengítésével. A zárolási küszöbök és a sebességkorlátok azért léteznek, mert ugyanaz a jel, amely egy kiesés alatt idegesít, az a jel, amely lelassítja a jelszókitalálási kísérletet.

A feloldás előtt állítsa le a küldőt

Állítsa le azt az egységet vagy kapcsolatot, amely továbbra is hitelesít, és úgy állítsa le, hogy egy újraindítást is túléljen. A kliens szüneteltetése nem elég, ha a szolgáltatása az indításkor automatikus indulásra van beállítva.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Várjon néhány percet, és erősítse meg, hogy a hibaszámláló megállt. Ez a szünet a bizonyíték arra, hogy a megfelelő forrást találta meg. Ha a hibák folytatódnak, a hurok máshonnan jön, és a feloldási lépés kárba veszett volna.

Csak ezután használja az üzemeltető dokumentált feloldási vagy helyreállítási folyamatát, és kövesse azt pontosan egyetlen ellenőrzött bejelentkezéssel arról az eszközről, amelyet meg kíván tartani. A pontos küszöbök, a lehűlési időszakok és a helyreállítás megfogalmazása szolgáltatásfüggő, ezért olvassa el őket, ahelyett hogy számot találgatna.

Távolítsa el az okot, hogy ne térjen vissza

Frissítse a mentett hitelesítő adatot ott, ahol a tulajdonában van: az operációs rendszer kulcstartójában, a kliensprofilban vagy a szolgáltatásfiók konfigurációjában. Ha az egyik helyen törli, míg a másik másolatot tart, akkor a hurok egy hét múlva visszatér, általában amikor egy offline volt laptop visszatér, és újra lejátssza a gyorsítótárazott értékét.

Adjon az automatizálásnak saját identitást. Egy külön kiépített fiók saját hitelesítő adattal és saját korlátokkal megakadályozza, hogy egy gép meghibásodása kizárjon egy embert az e-mailből, és a meghibásodást a naplókban visszakövethetővé teszi. Adjon hozzá visszalépést a klienshez, hogy az elutasított hitelesítő adat leállítsa az ismétléseket ahelyett, hogy megismételné őket, és riasszon az ismételt hitelesítési hibákra, hogy a következő hurok percek alatt észrevehető legyen, és ne 02:40-kor.

Amikor a jelentés a támogatáshoz kerül, tartsa meg a fiókazonosítót, az időbélyegeket és a kliens nevét. A jelszavak és a helyreállítási anyagok soha nem tartoznak abba a rekordba.