Ինչու VPN-ի վերահաղորդումը նորից հավատարմագրեր է պահանջում
Պահված գաղտնաբառը և կրկնակի օգտագործվող թոքենը սպառվում են տարբեր ժամանակացույցերով։ Կարդացեք, թե ինչ նյութ է պահանջել վերահաղորդումը, նախքան հաճախորդում որևէ բան փոխելը։
Ժամեր աշխատած թունելը գաղտնաբառ է պահանջում նոթբուքի արթնանալու պահին, և կարգաբերման մեջ ոչինչ չի փոխվել։ Փոխվել է այն հավատարմագրի վիճակը, որը վերահաղորդումը փորձել է կրկին օգտագործել։ Դա կառավարում են երեք տեսակի նյութեր, և դրանցից միայն մեկն է վերապրում կամայական ընդմիջում։
Կարդացեք, թե որն է պահանջել հաճախորդը, քանի որ երեքն էլ սպառվում են տարբեր ժամացույցներով և ձախողվում տարբեր հաղորդագրություններով։
Կրկնակի օգտագործվող նյութի երեք տեսակ
Քեշավորված գաղտնաբառը գաղտնիք է, որը պահում է հաճախորդը, և այն վավեր է մնում մինչև հաշիվը փոխի այն։ Սեսիայի թոքենը թողարկում է սերվերը հաջող մուտքից հետո, այն ունի իր կյանքի տևողությունը և կարող է չեղարկվել ցանկացած պահի։ TLS սեսիայի տոմսը կամ IKE անվտանգության ասոցիացիան արձանագրության վիճակ է, էժան վերսկսելու համար և լիովին անկախ ձեր գաղտնաբառից։ Յուրաքանչյուրը թողարկում է տարբեր բաղադրիչ, և յուրաքանչյուրը սպառվում է իր պայմաններով։
Առաջինը վերապրում է վերագործարկումը, երկրորդը սովորաբար վերապրում է քունը, իսկ երրորդը կարող է ընդհանրապես չվերապրել ցանցի փոփոխությունը։ Դրանք շփոթելը տալիս է սխալ լուծում, օրինակ՝ վերականգնել գաղտնաբառ, որը երբեք չի մերժվել։
Ինքը հուշումն է ախտորոշումը։ Դիտարկիչի պատուհանը կամ երկրորդ գործոնի կոդը նշանակում է, որ սերվերը պահանջել է ինտերակտիվ նույնականացում, մինչդեռ առանց հուշման լուռ ձախողումը նշանակում է, որ հաճախորդն այնքան չի հասել, որ հարցնեն։
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Բանալիների թարմացումը նորից նույնականացում չէ
Բանալիների թարմացումը փոխարինում է բանալիները՝ պահպանելով նույնականացված ինքնությունը, դրա համար այն առողջ թունելում ժամանակ առ ժամանակ լուռ է տեղի ունենում։ Նորից նույնականացումը կրկնում է ինքնության ստուգումը, և դա այն իրադարձությունն է, որին ձեր կարիքն է։ IKEv2-ը հստակորեն բաժանում է երկուսը, և գործընկերը կարող է պահանջել լրիվ նորից նույնականացում սահմանված ընդմիջումով՝ անկախ նրանից, թե քանի բանալիների թարմացում է եղել ընթացքում։ Դրսից երկու իրադարձությունները նույնական են թվում, մինչև կարդաք, թե որն է անվանում մատյանը։
OpenVPN-ը նույն կերպ է վարվում իր բառապաշարում. վերաբանակցման ընդմիջումը թարմացնում է տվյալների ալիքը, և նույնականացման թոքենը կարող է վերադարձվել հաճախորդին՝ հաջորդ միացմանը լրիվ մուտքից խուսափելու համար։ Այդ թոքենն ունի կյանքի տևողություն, և սերվերն է որոշում՝ ընդունե՞լ այն նորից։
Ուստի ութ ժամ հետո վերահաղորդումը կարող է ձախողվել այնտեղ, որտեղ ութ րոպե հետո վերահաղորդումը հաջողվել էր, առանց որևէ կողմում կարգաբերման փոփոխության։ Սա այն հուշման ամբողջ բացատրությունն է, որ հայտնվում է միայն ճաշից հետո։
Երբ հաճախորդը չի կարող կատարել նոր մարտահրավերը
Դիտարկիչի քայլ պահանջող քաղաքականությունը կձախողվի այնպիսի հաճախորդում, որը չունի այն ցուցադրելու միջոց։ Առանց ինտերֆեյսի սերվերները, մեկնարկային սկրիպտները և միայն գաղտնաբառով նույնականացման համար կառուցված հին պրոֆիլները բոլորը հարվածում են այդ պատին, և ձախողումը հաճախ երևում է որպես ընդհանուր ժամանակի սպառում, ոչ թե նույնականացման սխալ։
Սարքի և ցանցի անցումները նույնպես կարող են ընկնել քաղաքականության գնահատման պատուհանի մեջ, ուստի Wi-Fi-ից թեժ կետ անցումը համընկնում է ստուգման հետ, որն այդպես էլ տեղի կունենար։ Այդ համընկնումը ցանցին մեղավոր է ցույց տալիս, երբ պատճառը ժամաչափն է։
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Առաջին տողը ցույց է տալիս վերաբանակցման և նույնականացման իրադարձությունները հաճախորդի սեփական մատյանում, իսկ երկրորդը՝ անվտանգության ասոցիացիաները, որոնք strongSwan գործընկերն այժմ պահում է։ Համեմատեք ժամանակի նշիչները հուշման հայտնվելու պահի հետ. համընկնումը հաստատում է ժամաչափը, ոչ թե ցանցը։
Ինչ հաղորդել և ինչ չանջատել
Եթե ձեռքով մուտքը հաջողվում է, իսկ ավտոմատ կրկնակի օգտագործումը հետևողականորեն ձախողվում է, ասեք դա ուղիղ օպերատորին։ Դա անվանում է բաղադրիչը՝ կրկնակի օգտագործման ուղին, ոչ թե հավատարմագիրը։ Ներառեք ձախողման ժամը, օգտագործվող հաշիվը և ձեր տեսած հուշման տեսակը։
Մի անջատեք երկրորդ գործոնը, մի շրջանցեք վկայագրի ստուգումը և մի կպցրեք հավատարմագրերը սկրիպտի մեջ՝ վերահաղորդումը լուռ դարձնելու համար։ Դրանցից յուրաքանչյուրը հեռացնում է այն ստուգումը, որի համար գոյություն ունի քաղաքականությունը, և յուրաքանչյուրը մուտքի հուշումը դարձնում է միջադեպ։
Փոխարենը պահանջեք աջակցվող հոսքը՝ հաճախորդ, որը կարող է ավարտել մարտահրավերը, աշխատանքային օրվան համապատասխան թոքենի տևողություն, կամ հաստատված ոչ ինտերակտիվ պրոֆիլ այն մեքենայի համար, որը չի կարող հարցնել։ Դրանք բոլորը կարգաբերման որոշումներ են, որոնք ինչ-որ մեկը կարող է հաստատել, ինչը շրջանցող լուծումը չէ։