Pewaktu sesi VPN dan token autentikasi kedaluwarsa secara terpisah

Putusnya VPN dapat terjadi karena alasan yang tampak sama dari sisi klien dan tidak punya kesamaan di bawahnya: sesi terowongan berakhir, pewaktu diam aktif, atau kredensial yang dipakai ulang klien menjadi basi. Masing-masing punya pemilik dan perbaikan berbeda. Urutan galat pada saat putus itulah yang memisahkannya, dan biasanya hanya satu baris.

Tiga jam berjalan melawan satu terowongan, dan hanya satu di antaranya adalah terowongan itu.

Tiga jam berbeda pada satu terowongan

Jam sesi milik gateway: durasi koneksi maksimum, batas waktu diam, atau keduanya, dan ia mengakhiri terowongan ketika salah satunya tercapai. Jam token milik sistem autentikasi, dan ia menentukan berapa lama kredensial bisa diajukan lagi tanpa manusia. Jam jalur milik NAT atau firewall apa pun yang berada antara klien dan gateway, dan ia membiarkan pemetaan kedaluwarsa bagi aliran yang dianggap selesai. Ketiganya menghasilkan pemutusan, dan tidak satu pun menghasilkan baris log yang sama.

Hanya yang pertama adalah konsep VPN. Dua lainnya dipinjam dari identitas dan jaringan, dan keduanya sering dikira sebagai hal yang sama.

Bagaimana token sebenarnya dipakai ulang

Server OpenVPN dapat menerbitkan token autentikasi setelah login awal, sehingga negosiasi ulang kanal kendali tidak meminta kredensial pengguna lagi. Klien terus mengajukan token itu dan server memutuskan berapa lama token tetap dapat diterima. Ketika masa hidup token lebih pendek daripada interval negosiasi ulang, negosiasi ulang berikutnya gagal dan klien melaporkan galat autentikasi alih-alih batas waktu. Itulah sebabnya profil yang sama bekerja selama satu jam lalu gagal pada titik tetap.

Interval negosiasi ulang adalah pengaturan tersendiri. Mengubahnya menggeser kapan token diajukan, bukan berapa lama token hidup.

Bagaimana setiap kedaluwarsa terlihat dari klien

Batas waktu sesi biasanya datang sebagai pemutusan bersih dengan alasan dari sisi server, sering setelah durasi yang dapat diperkirakan dan tanpa galat autentikasi. Batas waktu diam tampak seperti kesunyian: terowongan berhenti membawa lalu lintas, lalu keepalive menyerah. Kedaluwarsa token datang sebagai AUTH_FAILED di tengah sesi yang satu detik sebelumnya masih bekerja.

Bacalah barisnya, lalu lihat jamnya. Durasi yang cocok dengan nilai yang dikonfigurasi bukan kebetulan.

Mengapa kata sandi tersimpan tidak menolong

Kata sandi di cache menjawab tantangan untuk kata sandi. Ia tidak memperpanjang masa hidup token dan tidak memenuhi tantangan faktor kedua atau pemeriksaan keadaan perangkat. Menaikkan frekuensi percobaan ulang, memperpendek batas waktu koneksi, atau mengimpor ulang profil tidak mengubah apa pun tentang berapa lama sistem identitas akan menerima kredensial.

Perbaikan yang tahan lama adalah masa hidup yang tepat pada objek yang tepat, atau alur klien yang dapat menyelesaikan tantangan yang diperlukan tanpa manusia.

Apa yang perlu didokumentasikan dan diuji

Tuliskan ketiga nilai: batas sesi dan diam pada gateway, masa hidup token, dan batas waktu pemetaan terpendek yang relevan di jalur. Lalu uji setiap kedaluwarsa dengan sengaja dengan memperpendek satu nilai, mengamati apa yang dilaporkan klien, dan memulihkannya. Pastikan apa yang harus dilakukan pengguna pada setiap batas, karena menuntut login penuh setiap jam adalah keputusan kebijakan yang seharusnya diambil dengan sengaja.

Putus yang datang tanpa peristiwa autentikasi sama sekali milik jalur atau pewaktu diam, dan itu penyelidikan lain dengan bukti lain.