VPN-ის განმეორებითი ცდების ციკლით ჩაკეტილი ანგარიში: ჯერ კლიენტი გააჩერეთ

02:40 საათზე ანგარიში იკეტება და კლავიატურასთან არავინ არის. თაროზე მდგარი კლიენტი კვლავ წარადგენს პაროლს, რომელიც გასულ თვეში შეინახა, კარიბჭე კვლავ უარყოფს მას, და ჩაკეტვის უკან მდგარი მრიცხველი იზრდება ადამიანის მონაწილეობის გარეშე. ეს განმეორებითი ცდების ციკლია და არა შეტევა, და ის უნდა შეწყდეს სანამ ანგარიშის აღდგენა შესაძლებელი გახდება.

განიხილეთ ეს როგორც ორი პრობლემა ფიქსირებული რიგით. ჯერ გააჩერეთ გამომგზავნი, შემდეგ აღადგინეთ წვდომა, რადგან საპირისპირო რიგი ციკლს რამდენიმე წუთში თავიდან ააქტიურებს.

გაარკვიეთ რომელი პროცესი აგზავნის წარუმატებლობებს

დაიწყეთ იდენტობის სისტემის დროის ნიშნებიდან და შეადარეთ ისინი ანგარიშის მქონე ყველა კლიენტს. მართული პროფილი, უზედამხედველო სერვისი, უჯრაში მდგარი ტელეფონი და ძველი სერტიფიკატებით აღჭურვილი სარეზერვო ლეპტოპი — ყველა შეიძლება ავთენტიფიცირდეს როგორც ერთი და იგივე პიროვნება. ის, რომელიც ყოველ რამდენიმე წამში ფარსდება, ციკლია, ხოლო ის, რომელიც დღეში ერთხელ ფარსდება, ჩვეულებრივ დავიწყებული ადამიანია. ორივე ერთსა და იმავე მრიცხველს კვებავს, და სწორედ აქ არის ხაფანგი.

ყურების დროს განასხვავეთ უარი მიუწვდომელი კარიბჭისგან. დროის ამოწურვა, სახელის გარჩევის ჩავარდნა ან დახურული პორტი ჩვეულებრივ არ ზრდის წარუმატებლობის მრიცხველს, მაშინ როცა დასრულებული ავთენტიფიკაციის გაცვლა, რომელიც ცუდი სერტიფიკატის შედეგს აბრუნებს, ზრდის. ორივეს შერევა არასწორ გამოსწორებას იძლევა, რადგან ერთი კლიენტის გაჩერებას მოითხოვს, მეორე კი გზის შეკეთებას.

სამი პირობა, რომელიც განსაზღვრავს პასუხს

სამი ფაქტი ამას ერთ პასუხამდე ავიწროებს. პირველი, აჩვენებს თუ არა ჩანაწერი ცალსახა უარს თუ ტრანსპორტის ჩავარდნას. მეორე, არის თუ არა იდენტობა საერთო მოწყობილობებსა თუ სერვისებს შორის. მესამე, ეკუთვნის თუ არა განმეორებითი კლიენტი თქვენს მართვას თუ მას სხვა აკონტროლებს.

თქვენს მიერ კონტროლირებული ერთი კლიენტის ცალსახა უარი ნიშნავს გააჩერეთ ის კლიენტი, გახსენით ბლოკი დამტკიცებული გზით და შეასრულეთ ერთი განზრახ შესვლა. საერთო იდენტობა პასუხს გახსნისკენ კი არა, მიწოდებისკენ უბიძგებს, რადგან ციკლი იმ წუთას განახლდება, როცა მეორე მოწყობილობა ხელახლა დაუკავშირდება. ტრანსპორტის ჩავარდნები ქსელურ ფენაზე მიუთითებს, სადაც ანგარიშის დაცვა საერთოდ არ არის საკითხი.

არც ერთი ეს ტოტი არ მოიცავს დაცვის შესუსტებას. ჩაკეტვის ზღვრები და სიჩქარის შეზღუდვები იმიტომ არსებობს, რომ იგივე სიგნალი, რომელიც შეფერხების დროს გაღიზიანებთ, არის სიგნალი, რომელიც პაროლის გამოცნობის მცდელობას ანელებს.

გააჩერეთ გამომგზავნი სანამ გახსნით

გააჩერეთ ის ერთეული ან კავშირი, რომელიც კვლავ ავთენტიფიცირდება, და გააჩერეთ ისე, რომ გადატვირთვას გაუძლოს. კლიენტის შეჩერება საკმარისი არ არის, როცა მისი სერვისი ჩატვირთვისას ავტომატურად გაშვებაზეა დაყენებული.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

დაელოდეთ რამდენიმე წუთს და დაადასტურეთ, რომ წარუმატებლობის მრიცხველი შეწყვიტა მოძრაობა. ის პაუზა არის მტკიცებულება, რომ სწორი წყარო იპოვეთ. თუ წარუმატებლობები გრძელდება, ციკლი სხვა ადგილიდან მოდის და გახსნის ნაბიჯი ფუჭად დაიხარჯებოდა.

მხოლოდ მაშინ გამოიყენეთ ოპერატორის დოკუმენტირებული გახსნის ან აღდგენის პროცესი, და მიჰყევით მას ზუსტად ერთი კონტროლირებადი შესვლით იმ მოწყობილობიდან, რომლის შენახვასაც აპირებთ. ზუსტი ზღვრები, გაგრილების პერიოდები და აღდგენის ფორმულირება სერვისის მიხედვით განსხვავდება, ამიტომ წაიკითხეთ ისინი და ნუ გამოიცნობთ რიცხვს.

მოშორეთ მიზეზი, რომ არ დაბრუნდეს

განაახლეთ შენახული სერტიფიკატი იქ, სადაც ის საკუთრებაშია: ოპერაციული სისტემის გასაღებების კრებულში, კლიენტის პროფილში ან სერვისის ანგარიშის კონფიგურაციაში. ერთ ადგილას წაშლა, მაშინ როცა სხვა ასლს ინახავს, სწორედ ის გზაა, რომლითაც ციკლი კვირაში ბრუნდება, ჩვეულებრივ მაშინ, როცა ოფლაინში მყოფი ლეპტოპი ბრუნდება და თავის ქეშირებულ მნიშვნელობას იმეორებს.

მიეცით ავტომატიზაციას საკუთარი იდენტობა. ცალკე მიწოდებული ანგარიში საკუთარი სერტიფიკატით და საკუთარი ლიმიტებით ხელს უშლის მანქანის ჩავარდნას ადამიანი ელფოსტიდან გამოკეტოს, და ჩავარდნას ჟურნალებში მიკუთვნებადს ხდის. დაამატეთ უკანდახევა კლიენტს, რათა უარყოფილმა სერტიფიკატმა განმეორებები შეაჩეროს და არ გაიმეოროს, და დააყენეთ სიგნალი განმეორებითი ავთენტიფიკაციის ჩავარდნებზე, რათა შემდეგი ციკლი წუთებში შეამჩნიონ და არა 02:40-ზე.

როცა ანგარიში მხარდაჭერას მიდის, შეინახეთ ანგარიშის იდენტიფიკატორი, დროის ნიშნები და კლიენტის სახელი. პაროლები და აღდგენის მასალა არასოდეს ეკუთვნის ამ ჩანაწერს.