Bloccato da un ciclo di tentativi VPN: ferma prima il client

Alle 02:40 l’account si blocca e nessuno è alla tastiera. Un client su uno scaffale continua a presentare la password che ha salvato il mese scorso, il gateway continua a rifiutarla, e il contatore dietro il blocco sale senza che nessuna persona intervenga. È un ciclo di tentativi e non un attacco, e va fermato prima che l’account possa essere recuperato.

Trattalo come due problemi in un ordine fisso. Ferma prima il mittente, poi ripristina l’accesso, perché fare il contrario riavvia il ciclo nel giro di pochi minuti.

Scopri quale processo invia gli errori

Parti dalle marche temporali del sistema di identità e confrontale con ogni client che detiene l’account. Un profilo gestito, un servizio senza supervisione, un telefono in un cassetto e un portatile di scorta con credenziali vecchie possono tutti autenticarsi come la stessa persona. Quello che fallisce ogni pochi secondi è il ciclo, e quello che fallisce una volta al giorno di solito è una persona che ha dimenticato. Entrambi alimentano lo stesso contatore, e qui sta la trappola.

Distingui un rifiuto da un gateway irraggiungibile mentre guardi. Un timeout, un errore di risoluzione dei nomi o una porta chiusa di norma non incrementano un contatore di errori, mentre uno scambio di autenticazione completato che restituisce un risultato di credenziale errata sì. Mescolare i due produce la correzione sbagliata, perché uno richiede il client fermato e l’altro richiede il percorso riparato.

Tre condizioni che decidono la risposta

Tre fatti riducono questo a una risposta. Primo, se il registro mostra un rifiuto esplicito o un guasto di trasporto. Secondo, se l’identità è condivisa tra dispositivi o servizi. Terzo, se il client che riprova è uno che amministri tu o uno controllato da qualcun altro.

Un rifiuto esplicito da un solo client che controlli significa fermare quel client, sbloccare tramite la via approvata e fare un solo accesso deliberato. Un’identità condivisa spinge la risposta verso il provisioning invece che verso lo sblocco, perché il ciclo riprenderà nel momento in cui l’altro dispositivo si riconnetterà. I guasti di trasporto indicano il livello di rete, dove la protezione dell’account non è affatto il problema.

Nessuno di questi rami implica indebolire la protezione. Le soglie di blocco e i limiti di frequenza esistono perché lo stesso segnale che ti infastidisce durante un’interruzione è il segnale che rallenta un tentativo di indovinare la password.

Ferma il mittente prima di sbloccare

Ferma l’unità o la connessione che continua ad autenticarsi, e fermala in un modo che sopravviva a un riavvio. Mettere il client in pausa non basta quando il suo servizio è impostato per avviarsi automaticamente al boot.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Aspetta qualche minuto e conferma che il contatore degli errori smette di muoversi. Quella pausa è la prova che hai trovato la fonte giusta. Se gli errori continuano, il ciclo arriva da altrove e il passo di sblocco sarebbe stato inutile.

Solo allora usa la procedura di sblocco o recupero documentata dell’operatore, e seguila con esattamente un accesso controllato dal dispositivo che intendi mantenere. Le soglie esatte, i periodi di raffreddamento e la formulazione del recupero sono specifici di ogni servizio, quindi leggili invece di indovinare un numero.

Rimuovi la causa perché non ritorni

Aggiorna la credenziale salvata dove è posseduta: nel portachiavi del sistema operativo, nel profilo del client o nella configurazione dell’account di servizio. Cancellarla da un posto mentre un altro ne conserva una copia è il modo in cui il ciclo ritorna una settimana dopo, di solito quando un portatile che era offline torna e riproduce il suo valore in cache.

Dai all’automazione un’identità propria. Un account provisionato separatamente con la propria credenziale e i propri limiti impedisce a un guasto della macchina di bloccare una persona fuori dalla posta, e rende il guasto attribuibile nei log. Aggiungi un arretramento al client perché una credenziale rifiutata fermi i tentativi invece di ripeterli, e attiva un allarme sugli errori di autenticazione ripetuti perché il ciclo successivo venga notato in pochi minuti e non alle 02:40.

Quando il rapporto va al supporto, conserva l’identificatore dell’account, le marche temporali e il nome del client. Le password e il materiale di recupero non appartengono mai a quel registro.