VPN სესიის ტაიმერი და ავთენტიფიკაციის ტოკენი ცალ-ცალკე იწურება

VPN-ის გაწყვეტა შეიძლება მოხდეს ისეთი მიზეზებით, რომლებიც კლიენტის მხრიდან ერთნაირად გამოიყურება და შიგნით არაფერი არ აქვთ საერთო: გვირაბის სესია დასრულდა, უმოქმედობის ტაიმერი ჩაირთო, ან მოძველდა ის სერტიფიკატი, რომელსაც კლიენტი ხელახლა იყენებდა. თითოეულს განსხვავებული მფლობელი და განსხვავებული გადაწყვეტა აქვს. სწორედ გაწყვეტის მომენტში შეცდომების მიმდევრობა გამოყოფს მათ, და ის ჩვეულებრივ ერთი ხაზია.

ერთი გვირაბის წინააღმდეგ სამი საათი მიდის, და მათგან მხოლოდ ერთია თავად გვირაბი.

სამი განსხვავებული საათი ერთ გვირაბზე

სესიის საათი შესასვლელს ეკუთვნის: კავშირის მაქსიმალური ხანგრძლივობა, უმოქმედობის ვადა ან ორივე, და ის ასრულებს გვირაბს, როცა რომელიმეს მიაღწევს. ტოკენის საათი ავთენტიფიკაციის სისტემას ეკუთვნის, და ის წყვეტს, რამდენ ხანს შეიძლება სერტიფიკატის ხელახლა წარდგენა ადამიანის გარეშე. გზის საათი ნებისმიერ NAT-ს ან ცეცხლის კედელს ეკუთვნის, რომელიც კლიენტსა და შესასვლელს შორისაა, და ის ამოწურავს იმ ნაკადების დაკავშირებებს, რომლებსაც დასრულებულად თვლის. სამივე იწვევს გაწყვეტას, და არც ერთი არ იძლევა იმავე ჟურნალის ხაზს.

მხოლოდ პირველია VPN-ის ცნება. დანარჩენი ორი იდენტობიდან და ქსელებიდან არის ნასესხები, და მათ ხშირად ერევათ მასთან.

როგორ გამოიყენება ტოკენი სინამდვილეში ხელახლა

OpenVPN სერვერებს შეუძლიათ ავთენტიფიკაციის ტოკენი გასცენ პირველი შესვლის შემდეგ, ამიტომ საკონტროლო არხის ხელახალი მოლაპარაკება მომხმარებელს ისევ არ სთხოვს სერტიფიკატს. კლიენტი აგრძელებს ამ ტოკენის წარდგენას და სერვერი წყვეტს, რამდენ ხანს რჩება ის მისაღები. როცა ტოკენის სიცოცხლე ხელახალი მოლაპარაკების ინტერვალზე მოკლეა, შემდეგი მოლაპარაკება ვერ ხერხდება, და კლიენტი ვადის ნაცვლად ავთენტიფიკაციის შეცდომას აცხადებს. ამიტომ იგივე პროფილი ერთი საათი მუშაობს და შემდეგ ფიქსირებულ წერტილში ვარდება.

ხელახალი მოლაპარაკების ინტერვალი ცალკე პარამეტრია. მისი შეცვლა ცვლის, როდის წარედგინება ტოკენი, და არა რამდენ ხანს ცოცხლობს ის.

როგორ გამოიყურება ყოველი ამოწურვა კლიენტის მხრიდან

სესიის ვადა ჩვეულებრივ მოდის როგორც სუფთა გაწყვეტა სერვერის მხრიდან მიზეზით, ხშირად მოსალოდნელი ხანგრძლივობის შემდეგ და ავთენტიფიკაციის შეცდომის გარეშე. უმოქმედობის ვადა სიჩუმეს ჰგავს: გვირაბი წყვეტს ტრაფიკის ტარებას, შემდეგ keepalive დანებდება. ტოკენის ამოწურვა AUTH_FAILED-ის სახით მოდის იმ სესიის შუაში, რომელიც ერთი წამით ადრე მუშაობდა.

წაიკითხეთ ხაზი და შემდეგ შეხედეთ საათს. კონფიგურირებულ მნიშვნელობას რომ ემთხვევა ხანგრძლივობა, შემთხვევითობა არ არის.

რატომ არ ეხმარება შენახული პაროლი

ქეშში შენახული პაროლი პასუხობს პაროლის გამოწვევას. ის არ აგრძელებს ტოკენის სიცოცხლეს და არ აკმაყოფილებს მეორე ფაქტორის ან მოწყობილობის მდგომარეობის შემოწმების გამოწვევას. ხელახალი ცდების სიხშირის გაზრდა, კავშირის ვადების შემცირება ან პროფილის ხელახლა იმპორტი არაფერს არ ცვლის იმაში, რამდენ ხანს მიიღებს იდენტობის სისტემა სერტიფიკატს.

მდგრადი გადაწყვეტებია სწორი სიცოცხლე სწორ ობიექტზე, ან კლიენტის ნაკადი, რომელსაც შეუძლია საჭირო გამოწვევის დასრულება ადამიანის გარეშე.

რა უნდა დოკუმენტდეს და შემოწმდეს

ჩაწერეთ სამივე მნიშვნელობა: შესასვლელის სესიის და უმოქმედობის ლიმიტები, ტოკენის სიცოცხლე და გზაზე ყველაზე მოკლე შესაბამისი დაკავშირების ვადა. შემდეგ განზრახ შეამოწმეთ ყოველი ამოწურვა ერთი მნიშვნელობის შემცირებით, დააკვირდით რას აცხადებს კლიენტი და აღადგინეთ ის. დაადასტურეთ, რა უნდა გააკეთოს მომხმარებელმა ყოველ საზღვარზე, რადგან ყოველ საათში სრული შესვლის მოთხოვნა ის პოლიტიკის გადაწყვეტილებაა, რომელიც ვინმეს განზრახ უნდა მიეღო.

გაწყვეტა, რომელიც საერთოდ ავთენტიფიკაციის მოვლენის გარეშე მოდის, გზას ან უმოქმედობის ტაიმერს ეკუთვნის, და ეს სხვა მტკიცებულებებით სხვა გამოძიებაა.