A VPN-munkamenet időzítője és a hitelesítési token külön jár le

A VPN-megszakadás olyan okokból is bekövetkezhet, amelyek az ügyfél felől azonosnak látszanak, és a felszín alatt semmi közöset nem mutatnak: véget ért az alagút munkamenete, lejárt egy tétlenségi időzítő, vagy elavult egy hitelesítő adat, amelyet az ügyfél újrahasznált. Mindegyiknek más a gazdája és más a javítása. Éppen a megszakadás pillanatában látható hibasorrend az, ami elválasztja őket, és általában egyetlen sor.

Három óra fut egyetlen alagút ellen, és csak az egyik közülük maga az alagút.

Három különböző óra egyetlen alagúton

A munkamenet-óra az átjáróé: maximális kapcsolati időtartam, tétlenségi időkorlát vagy mindkettő, és lezárja az alagutat, amikor bármelyik elérkezik. A token-óra a hitelesítési rendszeré, és eldönti, mennyi ideig lehet egy hitelesítő adatot ember nélkül újra bemutatni. Az útvonal-óra minden olyan NAT-é vagy tűzfalé, amely az ügyfél és az átjáró között van, és lejáratja azoknak a folyamoknak a leképezéseit, amelyeket befejezettnek tekint. Mindhárom megszakadást okoz, és egyik sem ugyanazt a naplósort adja.

Csak az első VPN-fogalom. A másik kettő az identitásból és a hálózatból származik, és rendszeresen összekeverik vele.

Hogyan használják újra a tokent valójában

Az OpenVPN kiszolgálók az első bejelentkezés után hitelesítési tokent bocsáthatnak ki, így a vezérlőcsatorna újratárgyalása nem kéri újra a felhasználótól a hitelesítő adatokat. Az ügyfél továbbra is bemutatja ezt a tokent, és a kiszolgáló dönti el, mennyi ideig marad elfogadható. Ha a token élettartama rövidebb, mint az újratárgyalási intervallum, a következő újratárgyalás meghiúsul, és az ügyfél időkorlát helyett hitelesítési hibát jelez. Ezért működik ugyanaz a profil egy órán át, majd egy rögzített ponton meghiúsul.

Az újratárgyalási intervallum külön beállítás. Módosítása azt tolja el, mikor mutatják be a tokent, nem azt, mennyi ideig él.

Hogyan néz ki az egyes lejáratok az ügyfél felől

A munkamenet-időkorlát általában tiszta megszakadásként érkezik, kiszolgálóoldali indokkal, gyakran kiszámítható időtartam után és hitelesítési hiba nélkül. A tétlenségi időkorlát csendnek látszik: az alagút abbahagyja a forgalom szállítását, majd a keepalive feladja. A token lejárata AUTH_FAILED formájában érkezik egy olyan munkamenet közepén, amely egy másodperccel korábban még működött.

Olvassa el a sort, majd nézzen az órára. A beállított értékkel egyező időtartam nem véletlen.

Miért nem segít a mentett jelszó

A gyorsítótárban lévő jelszó a jelszóra vonatkozó kihívásra válaszol. Nem hosszabbítja meg a token élettartamát, és nem teljesíti egy második tényező vagy az eszköz állapotának ellenőrzésére vonatkozó kihívást. Az újrapróbálkozások gyakoriságának növelése, a kapcsolati időkorlátok csökkentése vagy a profil újraimportálása semmit sem változtat azon, mennyi ideig fogadja el a hitelesítő adatot az identitásrendszer.

A tartós javítás a megfelelő élettartam a megfelelő objektumon, vagy olyan ügyfélfolyamat, amely ember nélkül képes teljesíteni a szükséges kihívást.

Mit kell dokumentálni és tesztelni

Írja fel mindhárom értéket: az átjáró munkamenet- és tétlenségi korlátait, a token élettartamát és az útvonalon a legrövidebb releváns leképezési időkorlátot. Ezután szándékosan tesztelje mindegyik lejáratot úgy, hogy egy értéket lerövidít, figyeli, mit jelent az ügyfél, majd visszaállítja. Erősítse meg, mit kell tennie a felhasználónak az egyes határokon, mert óránként teljes bejelentkezést követelni olyan szakpolitikai döntés, amelyet valakinek szándékosan kellett volna meghoznia.

Az a megszakadás, amely egyáltalán hitelesítési esemény nélkül érkezik, az útvonalhoz vagy a tétlenségi időzítőhöz tartozik, és ez más bizonyítékokkal járó más vizsgálat.