რატომ ითხოვს VPN-ის ხელახალი დაკავშირება ისევ რწმუნებულებას
შენახული პაროლი და ხელახლა გამოყენებადი ტოკენი სხვადასხვა გრაფიკით იწურება. სანამ კლიენტზე რამეს შეცვლით, წაიკითხეთ, რომელი მასალა მოითხოვა ხელახალმა დაკავშირებამ.
გვირაბი, რომელიც საათობით მუშაობდა, პაროლს ითხოვს იმ წამს, როცა ლეპტოპი იღვიძებს, და კონფიგურაციაში არაფერი შეცვლილა. შეიცვალა იმ რწმუნებულების მდგომარეობა, რომლის ხელახლა გამოყენებას ცდილობდა ხელახალი დაკავშირება. ამას სამი სახის მასალა განსაზღვრავს და მათგან მხოლოდ ერთი გადაურჩება ნებისმიერ შუალედს.
წაიკითხეთ, რომელი მოითხოვა კლიენტმა, რადგან სამივე სხვადასხვა საათით იწურება და სხვადასხვა შეტყობინებით ვარდება.
ხელახლა გამოყენებადი მასალის სამი სახე
ქეშირებული პაროლი კლიენტის მიერ შენახული საიდუმლოა და ძალაში რჩება მანამ, სანამ ანგარიში შეცვლის. სესიის ტოკენს გასცემს სერვერი წარმატებული შესვლის შემდეგ, მას აქვს საკუთარი სიცოცხლის ხანგრძლივობა და ნებისმიერ მომენტში შეიძლება გაუქმდეს. TLS სესიის ბილეთი ან IKE უსაფრთხოების ასოციაცია პროტოკოლის მდგომარეობაა, იაფი გასაგრძელებლად და სრულიად დამოუკიდებელი თქვენი პაროლისგან. თითოეულს სხვადასხვა კომპონენტი გასცემს და თითოეული საკუთარი პირობებით იწურება.
პირველი გადაურჩება გადატვირთვას, მეორე ჩვეულებრივ გადაურჩება ძილს, ხოლო მესამემ შეიძლება საერთოდ ვერ გადაიტანოს ქსელის ცვლილება. მათი არევა არასწორ გამოსწორებას იძლევა, მაგალითად იმ პაროლის აღდგენას, რომელიც არასდროს უარყოფილა.
თავად მოთხოვნა დიაგნოზია. ბრაუზერის ფანჯარა ან მეორე ფაქტორის კოდი ნიშნავს, რომ სერვერმა ინტერაქტიული აუთენტიფიკაცია მოითხოვა, ხოლო მოთხოვნის გარეშე ჩუმი ვარდნა ნიშნავს, რომ კლიენტი იმდენად შორს არ მისულა, რომ ეკითხათ.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
გასაღებების განახლება ხელახალი აუთენტიფიკაცია არ არის
გასაღებების განახლება ცვლის გასაღებებს აუთენტიფიცირებული იდენტობის შენარჩუნებით, ამიტომ ჯანსაღ გვირაბზე ის დროდადრო ჩუმად ხდება. ხელახალი აუთენტიფიკაცია იმეორებს თავად იდენტობის შემოწმებას და სწორედ ის მოვლენაა, რომელსაც თქვენ სჭირდება. IKEv2 ამ ორს აშკარად ჰყოფს, და პარტნიორმა შეიძლება მოითხოვოს სრული ხელახალი აუთენტიფიკაცია დადგენილ ინტერვალზე, მიუხედავად იმისა, რამდენი გასაღების განახლება მოხდა შუალედში. გარედან ორივე მოვლენა ერთნაირად გამოიყურება, სანამ არ წაიკითხავთ, რომელს ასახელებს ჟურნალი.
OpenVPN იმავე გზით იქცევა საკუთარ ლექსიკაში: ხელახალი მოლაპარაკების ინტერვალი აახლებს მონაცემთა არხს, და აუთენტიფიკაციის ტოკენი შეიძლება დაუბრუნდეს კლიენტს, რათა შემდეგ კავშირზე სრული შესვლა აირიდოს. ამ ტოკენს აქვს ვადა, და სერვერი წყვეტს, მიიღოს ის კვლავ თუ არა.
ამიტომ რვა საათის შემდეგ ხელახალი დაკავშირება შეიძლება ჩავარდეს იქ, სადაც რვა წუთის შემდეგ ხელახალი დაკავშირება წარმატებული იყო, ორივე მხარეს კონფიგურაციის ცვლილების გარეშე. ეს არის სრული ახსნა იმ მოთხოვნისა, რომელიც მხოლოდ სადილის შემდეგ ჩნდება.
როცა კლიენტი ახალ გამოწვევას ვერ ასრულებს
ბრაუზერის ნაბიჯს მომთხოვნი პოლიტიკა ჩავარდება იმ კლიენტზე, რომელსაც მისი ჩვენების გზა არ აქვს. უთავო სერვერები, გაშვების სკრიპტები და მხოლოდ პაროლით აუთენტიფიკაციისთვის აშენებული ძველი პროფილები ყველა ამ კედელზე ხვდება, და ვარდნა ხშირად ზოგადი დროის ამოწურვის სახით ჩნდება და არა აუთენტიფიკაციის შეცდომად.
მოწყობილობისა და ქსელის გადასვლები ასევე შეიძლება მოხვდეს პოლიტიკის შეფასების ფანჯარაში, ამიტომ Wi-Fi-დან ცხელ წერტილზე გადასვლა ემთხვევა შემოწმებას, რომელიც მაინც მოხდებოდა. ეს დამთხვევა ქსელს დამნაშავედ აჩვენებს, როცა მიზეზი ტაიმერია.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
პირველი სტრიქონი აჩვენებს ხელახალი მოლაპარაკებისა და აუთენტიფიკაციის მოვლენებს კლიენტის საკუთარ ჟურნალში, ხოლო მეორე აჩვენებს უსაფრთხოების ასოციაციებს, რომლებიც strongSwan პარტნიორს ახლა აქვს. შეადარეთ დროის ნიშნები იმ მომენტს, როცა მოთხოვნა გამოჩნდა; დამთხვევა ადასტურებს ტაიმერს და არა ქსელს.
რა უნდა მოვახსენოთ და რა არ უნდა გამოვრთოთ
თუ ხელით შესვლა წარმატებულია და ავტომატური ხელახალი გამოყენება თანმიმდევრულად ვარდება, ზუსტად ეს უთხარით ოპერატორს. ეს ასახელებს კომპონენტს: ხელახალი გამოყენების გზას და არა რწმუნებულებას. ჩართეთ ვარდნის დრო, გამოყენებული ანგარიში და თქვენ მიერ ნანახი მოთხოვნის ტიპი.
ნუ გამორთავთ მეორე ფაქტორს, ნუ გამოტოვებთ სერტიფიკატის ვალიდაციას და ნუ ჩასვამთ რწმუნებულებას სკრიპტში, რომ ხელახალი დაკავშირება ჩუმი გახდეს. თითოეული მათგანი აშორებს იმ შემოწმებას, რომლისთვისაც პოლიტიკა არსებობს, და თითოეული შესვლის მოთხოვნას ინციდენტად აქცევს.
ამის ნაცვლად მოითხოვეთ მხარდაჭერილი ნაკადი: კლიენტი, რომელსაც შეუძლია გამოწვევის დასრულება, სამუშაო დღეს შესაბამისი ტოკენის ვადა, ან დამტკიცებული არაინტერაქტიული პროფილი იმ მანქანისთვის, რომელსაც ვერ შეუძლია კითხვა. ეს ყველაფერი კონფიგურაციის გადაწყვეტილებებია, რომლებიც ვინმეს შეუძლია დაამტკიცოს, რაც გვერდის ავლა არ არის.