Hvers vegna VPN-endurtenging biður aftur um auðkenni
Geymt lykilorð og endurnýtanlegt tákn renna út á mismunandi áætlunum. Lestu hvaða efni endurtengingin bað um áður en þú breytir nokkru á biðlaranum.
Göng sem virkuðu í klukkustundir biðja um lykilorð á þeirri stundu sem fartölvan vaknar, og ekkert í stillingunum hefur breyst. Það sem breyttist er ástand auðkennisins sem endurtengingin reyndi að endurnýta. Þrjár tegundir efnis stýra því, og aðeins ein þeirra lifir af handahófskennt bil.
Lestu hverju biðlarinn bað um, því allar þrjár renna út á mismunandi klukkum og mistakast með mismunandi skilaboðum.
Þrjár tegundir endurnýtanlegs efnis
Skyndiminnið lykilorð er leyndarmál sem biðlarinn heldur og gildir þar til reikningurinn breytir því. Setutákn er gefið út af þjóninum eftir árangursríka innskráningu, ber eigin líftíma og er hægt að afturkalla hvenær sem er. TLS setumiði eða IKE öryggissamtenging er siðaregluástand, ódýrt að halda áfram og algjörlega óháð lykilorðinu þínu. Hvert um sig er gefið út af mismunandi hluta, og hvert rennur út á sínum eigin skilyrðum.
Það fyrsta lifir af endurræsingu, annað lifir venjulega af svefni, og þriðja lifir kannski ekki af netbreytingu yfirleitt. Að rugla þeim saman gefur ranga lagfæringu, eins og að endurstilla lykilorð sem var aldrei hafnað.
Sjálf beiðnin er greiningin. Vafragluggi eða kóði annars þáttar þýðir að þjónninn krafðist gagnvirkrar auðkenningar, en hljóðlát mistök án beiðni þýða að biðlarinn komst aldrei nógu langt til að vera spurður.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Endurnýjun lykla er ekki endurauðkenning
Endurnýjun lykla skiptir út lyklum en heldur auðkenndu sjálfsmyndinni, þess vegna gerist hún hljóðlaust öðru hverju á heilbrigðum göngum. Endurauðkenning endurtekur sjálfa sjálfsmyndarprófunina, og það er atburðurinn sem þarf á þér að halda. IKEv2 aðskilur þetta tvennt skýrt, og jafningi getur krafist fullrar endurauðkenningar á stilltu bili óháð því hversu margar lyklendurnýjanir urðu á milli. Atburðirnir tveir líta eins út að utan þar til þú lest hvorn annálaðan nefnir.
OpenVPN hagar sér á sama hátt í eigin orðaforða: endursamningabill endurnýjar gagnarásina, og auðkenningartákn má skila til biðlarans til að forðast fulla innskráningu við næstu tengingu. Það tákn hefur líftíma, og þjónninn ákveður hvort hann samþykkir það aftur.
Þannig getur endurtenging eftir átta klukkustundir mistekist þar sem endurtenging eftir átta mínútur tókst, án nokkurrar stillingabreytingar á hvorum stað sem er. Það er öll skýringin á beiðni sem birtist aðeins eftir hádegi.
Þegar biðlarinn getur ekki lokið nýju áskoruninni
Stefna sem krefst vafraskrefs mistekst á biðlara sem hefur enga leið til að sýna eitt. Þjónar án skjás, ræsingarskriftur og gömul próf byggð fyrir auðkenningu eingöngu með lykilorði rekast öll á þann vegg, og mistökin birtast oft sem almennur tímarof í stað auðkenningarvillu.
Tækja- og netskipti geta líka fallið innan matsglugga stefnunnar, svo flakk frá Wi-Fi yfir á heitan reit fellur saman við prófun sem hefði gerst hvort eð er. Tilviljunin lætur netið virka sekjandi þegar orsökin er tímamælirinn.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Fyrsta línan sýnir endursamninga- og auðkenningaratburði í eigin annál biðlarans, og önnur sýnir öryggissamtengingarnar sem strongSwan-jafningi heldur núna. Berið tímasetningarnar saman við stundina þegar beiðnin birtist; samsvörun staðfestir tímamælinn frekar en netið.
Hvað á að tilkynna, og hvað á ekki að slökkva á
Ef handvirk innskráning tekst og sjálfvirk endurnýting mistekst alltaf, segið rekstraraðilanum nákvæmlega þetta. Það nefnir hlutann: endurnýtingarleiðina, ekki auðkennið. Takið fram tíma mistakanna, reikninginn sem er í notkun og tegund beiðninnar sem þú sást.
Slökktu ekki á öðrum þættinum, slepptu ekki vottorðaprófun og límið ekki auðkenni í skriftu til að gera endurtenginguna hljóðláta. Hvert þessara atriða fjarlægir prófunina sem stefnan er til að framfylgja, og hvert þeirra gerir innskráningarbeiðni að atviki.
Biðjið þess í stað um studda flæðið: biðlara sem getur lokið áskoruninni, táknlíftíma sem passar við vinnudaginn, eða samþykkt ógagnvirkt próf fyrir vélina sem getur ekki spurt. Þetta eru öll stillingarákvarðanir sem einhver getur samþykkt, sem vinnuslys er ekki.