OpenVPN OTP სესიას გვიან წყვეტს: რა სჭირდება ხელახალ ავთენტიფიკაციას

კლიენტის მხრიდან ეს სამუშაო სესიის ერთი საათის შემდეგ შემთხვევით გაწყვეტად გამოიყურება. ტრეის ხატულა ქრება, გვირაბი ხელახლა აშენდება და ჟურნალი ქსელური შეცდომის ნაცვლად ავთენტიფიკაციის წარუმატებლობას აჩვენებს. სინამდვილეში სესიამ ხელახალი ნეგოციაცია გაიარა და მეორე ხელის ჩამორთმევას სჭირდებოდა ისეთი სამოწმებელი, რომლის მოქმედი ასლი კლიენტს აღარ ჰქონდა. ერთჯერადი კოდი, რომელმაც შესვლისას იმუშავა, მეორედ ვერ იმუშავებს, ამიტომ გასაღების განახლება ზუსტად ისე ვარდება, როგორც გათვალისწინებულია.

გამოსავალი გადაწყვეტილებაა იმაზე, თუ რა უნდა წარადგინოს მეორე ხელის ჩამორთმევამ, და არა უფრო გრძელი ხელახალი ცდის ტაიმერი.

გაიარეთ გაცვლა კლიენტის თვალთახედვიდან

შესვლისას კლიენტი აგზავნის მომხმარებლის სახელს, პაროლს და ტოკენ-მოწყობილობის კოდს, და სერვერი ამ კომბინაციას იღებს. შემდეგ სესია გრძელდება მანამ, სანამ ხელახალი ნეგოციაციის ტრიგერი ამოქმედდება, რაც არსებული გვირაბის შიგნით ახალ TLS ხელის ჩამორთმევას იწყებს. ეს ხელის ჩამორთმევა კვლავ ავთენტიფიკაციას ითხოვს. თუ სერვერის ავთენტიფიკაციის გზა პაროლს და მიმდინარე ერთჯერად კოდს ელოდება, კლიენტს ახალი კოდი არ აქვს, თუ მომხმარებელი იქ არ არის მის აკრეფად.

კლიენტების უმეტესობა სესიის შუაში მოთხოვნას არ ხსნის, ამიტომ ხელის ჩამორთმევა ვადას გადის და გვირაბი ვარდება. მომხმარებელი ხედავს ხელახალ დაკავშირებას და არა ავთენტიფიკაციის მოთხოვნას, ამიტომ პირველი შეტყობინება ჩვეულებრივ ქსელს ადანაშაულებს.

auth-gen-token ცვლის, ვინ პასუხობს მეორე კითხვას

პარამეტრი auth-gen-token საშუალებას აძლევს სერვერს, წარმატებული შესვლის შემდეგ გამოუშვას ტოკენი, ხოლო შემდგომი ნეგოციაციები წარადგენენ ამ ტოკენს პაროლისა და კოდის გამეორების ნაცვლად. სახელმძღვანელო აღწერს მის სიცოცხლის ხანგრძლივობასა და განახლების ქცევას, და ტოკენი უნდა განიხილებოდეს სამოწმებლად საკუთარი ვადის გასვლით. ნაგულისხმევ გზაზე სერვერი თავად ამოწმებს ტოკენს და აღარ იძახებს გარე პაროლის ავთენტიფიკატორს.

გარე ავთენტიფიკაციის ინტეგრაციით ეს დანაწილება იცვლება. დანამატმა უნდა გაიგოს ტოკენის მდგომარეობა და გამოიყენოს საკუთარი შემოწმებები, რადგან სერვერი აღარ არის ერთადერთი კომპონენტი, რომელიც წყვეტს, გაგრძელდება თუ არა სესია. ტოკენის კიდევ ერთ რიცხვით ერთჯერად კოდად მოპყრობა ამ ფუნქციის განხორციელება არ არის.

გადაწყვიტეთ, რა მოხდება ანგარიშის სტატუსთან

ტოკენი, რომელიც ანგარიშის წვდომაზე დიდხანს ცოცხლობს, პოლიტიკის ხვრელია. გადაწყვიტეთ, როგორ იმოქმედებს გამორთული ანგარიში, მოხსნილი ჯგუფის წევრობა ან გაუქმებული მოწყობილობა, სანამ ტოკენი ჯერ კიდევ მოქმედია. ტოკენის მოკლე სიცოცხლე ფანჯარას ავიწროებს; გამოკვეთილი გაუქმების გზა მას განზრახს ხდის. ჩაწერეთ პასუხი პარამეტრის ჩართვამდე, რადგან ნაგულისხმევი გზა ყოველ ნეგოციაციაზე არ მიმართავს გარე ავთენტიფიკატორს.

მრავალსერვერიან განლაგებაში ტოკენის ხელმოწერის საიდუმლო უნდა იყოს გაზიარებული, თორემ კლიენტი შეიძლება გაიგზავნოს კვანძთან, რომელიც მის ტოკენს ვერ ამოწმებს.

შეამოწმეთ ვადის გასვლა და ხელახალი დაკავშირება და არა მხოლოდ შესვლა

სატესტო პროფილში შეამცირეთ ნეგოციაციის ინტერვალი, რომ მეორე ხელის ჩამორთმევა თქვენს თვალწინ მოხდეს, შემდეგ კი ორივე ჟურნალს მიჰყევით. დაადასტურეთ, რომ ტოკენი გაიცემა შესვლისას, წარადგენება გასაღების განახლებისას და განახლდება ან ხელახლა გაიცემა კონფიგურირებული სიცოცხლის მიხედვით. შემდეგ აიძულეთ ტოკენის ვადის გასვლა და სრული ხელახალი დაკავშირება, რადგან კლიენტი, რომელიც სუფთად უკავშირდება ხელახლა, მაინც შეიძლება ჩავარდეს გასაღების განახლების გზაზე.

ანგარიშის წაშლა ბოლოს შეამოწმეთ. ეს შემთხვევა გეტყვით, აღსრულდება თუ არა დაწერილი პოლიტიკა, თუ მხოლოდ დოკუმენტირებულია.

ნუ გაასწორებთ განახლების გამორთვით

ორივე პირზე ნეგოციაციის ინტერვალის ნულამდე დაყვანა აშორებს სიმპტომს და მასთან ერთად გასაღების როტაციასაც. ეს სამოწმებლის გამეორების პრობლემას მალავს ისეთი პოლიტიკის ცვლილების უკან, რომელიც არავის განუხილავს. შეინარჩუნეთ განახლება და აირჩიეთ სერვერის მიერ გამოშვებულ ტოკენსა და ახალ ინტერაქტიულ გამოწვევას შორის იმის მიხედვით, არის თუ არა მომხმარებელი იქ.

უფრო გრძელი ხელახალი ცდის ტაიმერი დახარჯულ კოდს კვლავ მოქმედს არ ხდის. ის მხოლოდ აჭიანურებს გაწყვეტას და ჟურნალს უფრო ძნელად საკითხავს ხდის.