VPN-ի կրկնակի փորձերի հանգույցից արգելափակված՝ նախ կանգնեցրեք հաճախորդը

Ժամը 02:40-ին հաշիվն արգելափակվում է, և ոչ ոք ստեղնաշարի մոտ չէ։ Դարակի վրա գտնվող հաճախորդը շարունակ ներկայացնում է այն գաղտնաբառը, որը պահել էր անցյալ ամիս, դարպասը շարունակ մերժում է այն, և արգելափակման հետևում գտնվող հաշվիչը բարձրանում է առանց մարդու մասնակցության։ Սա կրկնակի փորձերի հանգույց է, ոչ թե հարձակում, և այն պետք է կանգնեցվի նախքան հաշվի վերականգնումը։

Դիտարկեք այն որպես երկու խնդիր՝ հաստատուն հերթականությամբ։ Նախ կանգնեցրեք ուղարկողին, ապա վերականգնեք հասանելիությունը, որովհետև հակառակ հերթականությունը հանգույցը նորից կսկսի մի քանի րոպեի ընթացքում։

Պարզեք, թե որ գործընթացն է ուղարկում ձախողումները

Սկսեք ինքնության համակարգի ժամանակային նշաններից և համեմատեք դրանք հաշիվն ունեցող յուրաքանչյուր հաճախորդի հետ։ Կառավարվող պրոֆիլը, չհսկվող ծառայությունը, դարակի մեջ գտնվող հեռախոսը և հին հավատարմագրերով պահեստային նոութբուքը բոլորը կարող են նույնականացվել որպես նույն անձ։ Այն, որը ձախողվում է ամեն մի քանի վայրկյանը մեկ, հանգույցն է, իսկ այն, որը ձախողվում է օրը մեկ, սովորաբար մարդ է, որը մոռացել է։ Երկուսն էլ սնուցում են նույն հաշվիչը, և այստեղ է որոգայթը։

Նայելիս տարբերեք մերժումը անհասանելի դարպասից։ Ժամանակի սպառումը, անվան թարգմանության ձախողումը կամ փակ պորտը սովորաբար չեն ավելացնում ձախողումների հաշվիչը, մինչդեռ վատ հավատարմագրի արդյունք վերադարձնող ավարտված նույնականացման փոխանակումը՝ ավելացնում է։ Երկուսը խառնելը տալիս է սխալ լուծում, որովհետև մեկը պահանջում է կանգնեցնել հաճախորդին, իսկ մյուսը՝ վերանորոգել ուղին։

Երեք պայման, որոնք որոշում են արձագանքը

Երեք փաստ այն նեղացնում են մեկ պատասխանի։ Առաջինը՝ արդյոք գրառումը ցույց է տալիս բացահայտ մերժում, թե տրանսպորտային ձախողում։ Երկրորդը՝ արդյոք ինքնությունը համօգտագործվում է սարքերի կամ ծառայությունների միջև։ Երրորդը՝ արդյոք կրկնող հաճախորդը ձեր կողմից կառավարվողն է, թե մեկը, որը վերահսկում է ուրիշը։

Ձեր կողմից վերահսկվող մեկ հաճախորդից բացահայտ մերժումը նշանակում է կանգնեցնել այդ հաճախորդին, բացել արգելափակումը հաստատված ուղով և կատարել մեկ դիտավորյալ մուտք։ Համօգտագործվող ինքնությունը պատասխանը մղում է տրամադրման, այլ ոչ թե ապակողպման, որովհետև հանգույցը կվերսկսվի այն պահին, երբ մյուս սարքը նորից միանա։ Տրանսպորտային ձախողումները մատնանշում են ցանցային շերտը, որտեղ հաշվի պաշտպանությունը բոլորովին խնդիր չէ։

Այս ճյուղերից ոչ մեկը չի ներառում պաշտպանության թուլացում։ Արգելափակման շեմերը և արագության սահմանափակումները գոյություն ունեն, որովհետև այն նույն ազդանշանը, որը ձեզ նյարդայնացնում է խափանման ժամանակ, այն ազդանշանն է, որը դանդաղեցնում է գաղտնաբառ գուշակելու փորձը։

Կանգնեցրեք ուղարկողին նախքան ապակողպելը

Կանգնեցրեք այն միավորը կամ կապը, որը շարունակ նույնականացվում է, և կանգնեցրեք այն այնպես, որ դիմանա վերագործարկմանը։ Հաճախորդին դադարեցնելը բավարար չէ, երբ նրա ծառայությունը դրված է բեռնման ժամանակ ինքնաշխատ սկսելու։

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Սպասեք մի քանի րոպե և հաստատեք, որ ձախողումների հաշվիչը դադարում է շարժվել։ Այդ դադարը ճիշտ աղբյուրը գտնելու ապացույցն է։ Եթե ձախողումները շարունակվեն, հանգույցը գալիս է այլ տեղից, և ապակողպման քայլը կվատնվեր։

Միայն այդ ժամանակ օգտվեք օպերատորի փաստաթղթավորված ապակողպման կամ վերականգնման ընթացակարգից և հետևեք այն ուղիղ մեկ վերահսկվող մուտքով այն սարքից, որը մտադիր եք պահել։ Ճշգրիտ շեմերը, սառեցման ժամանակահատվածները և վերականգնման ձևակերպումները ծառայությանը հատուկ են, ուստի կարդացեք դրանք՝ փոխարենը թիվ գուշակելու։

Վերացրեք պատճառը, որպեսզի այն չվերադառնա

Թարմացրեք պահված հավատարմագիրը այնտեղ, որտեղ այն պատկանում է՝ օպերացիոն համակարգի բանալիների շարքում, հաճախորդի պրոֆիլում կամ ծառայության հաշվի կարգավորումներում։ Մի տեղից ջնջելը, մինչ մյուսը պատճեն է պահում, այն ձևն է, որով հանգույցը վերադառնում է մեկ շաբաթ անց, սովորաբար այն ժամանակ, երբ անցանց եղած նոութբուքը վերադառնում է և նորից նվագարկում իր պահված արժեքը։

Ավտոմատացմանը տվեք իր ինքնությունը։ Առանձին տրամադրված հաշիվը՝ իր հավատարմագրով և իր սահմաններով, թույլ չի տալիս մեքենայի խափանմանը մարդուն փակել էլփոստից դուրս, և խափանումը դարձնում է մատնանշելի մատյաններում։ Ավելացրեք հետքայլ հաճախորդին, որպեսզի մերժված հավատարմագիրը դադարեցնի կրկնությունները՝ դրանք կրկնելու փոխարեն, և տագնապ սահմանեք կրկնվող նույնականացման ձախողումների համար, որպեսզի հաջորդ հանգույցը նկատվի րոպեների ընթացքում, այլ ոչ թե 02:40-ին։

Երբ հաշվետվությունը գնում է աջակցությանը, պահեք հաշվի նույնացուցիչը, ժամանակային նշանները և հաճախորդի անունը։ Գաղտնաբառերը և վերականգնման նյութերը երբեք չպետք է լինեն այդ գրառման մեջ։