OpenVPN OTP сессиясын кейін үзеді: қайта аутентификацияға не қажет

Клиент жағынан бұл жұмыс сессиясының бір сағатында кездейсоқ ажырау сияқты көрінеді. Науа белгішесі жоғалады, туннель қайта құрылады, ал журнал желілік қате емес, аутентификация қатесін көрсетеді. Шын мәнінде сессия қайта келісім жасап, екінші қол алысу клиентте жарамды көшірмесі қалмаған тіркелгі деректерін талап етті. Кіру кезінде істеген бір реттік код екінші рет істемейді, сондықтан кілтті қайта жаңарту дәл жоспарланғандай сәтсіз аяқталады.

Шешім — екінші қол алысу нені ұсынуы керектігі туралы шешім, ал ұзағырақ қайталау таймері емес.

Алмасуды клиент көзімен қарап шығыңыз

Кіру кезінде клиент пайдаланушы атын, құпиясөзді және токен құрылғысының кодын жібереді, ал сервер осы үйлесімді қабылдайды. Содан кейін сессия қайта келісім триггері іске қосылғанша жалғасады, ол бар туннель ішінде жаңа TLS қол алысуын бастайды. Бұл қол алысу қайтадан аутентификация сұрайды. Егер сервердің аутентификация жолы құпиясөз бен ағымдағы бір реттік кодты күтсе, пайдаланушы қасында болып термейінше, клиентте ұсынатын жаңа код жоқ.

Көптеген клиент сессия ортасында сұраныс терезесін ашпайды, сондықтан қол алысу уақыты бітеді де, туннель үзіледі. Пайдаланушы аутентификация сұранысын емес, қайта қосылуды көреді, сондықтан бірінші хабарлама әдетте желіні кінәлайды.

auth-gen-token екінші сұраққа кім жауап беретінін өзгертеді

Параметр auth-gen-token серверге сәтті кіруден кейін токен шығаруға мүмкіндік береді, ал кейінгі қайта келісімдер құпиясөз бен кодты қайталаудың орнына сол токенді ұсынады. Нұсқаулық оның өмір сүру мерзімі мен жаңару тәртібін сипаттайды, және токенді өз мерзімі бар тіркелгі дерегі ретінде қарау керек. Әдепкі жолда сервер сыртқы құпиясөз аутентификаторына қайта жүгінбей, токенді өзі тексереді.

Сыртқы аутентификация интеграциясында бұл бөлініс өзгереді. Плагин токен күйін түсініп, өз тексерулерін қолдануы керек, өйткені сессия жалғаса ма, жоқ па — соны шешетін жалғыз компонент енді сервер емес. Токенді тағы бір сандық бір реттік код ретінде қарау — бұл мүмкіндіктің іске асырылуы емес.

Тіркелгі күйіне не болатынын шешіңіз

Тіркелгінің рұқсатынан ұзақ өмір сүретін токен — саясаттағы тесік. Өшірілген тіркелгі, алынып тасталған топ мүшелігі немесе кері қайтарылған құрылғы токен әлі жарамды кезде қалай әсер ететінін шешіңіз. Токеннің қысқа мерзімі терезені тарылтады; айқын кері қайтару жолы оны әдейі етеді. Жауапты опцияны қоспас бұрын жазып қойыңыз, өйткені әдепкі жол әр қайта келісімде сыртқы аутентификаторға жүгінбейді.

Көпсерверлі орналастыруда токен қолтаңбасының құпиясы ортақ болуы керек, әйтпесе клиент өз токенін тексере алмайтын түйінге жіберілуі мүмкін.

Тек кіруді ғана емес, мерзім бітуі мен қайта қосылуды сынаңыз

Сынақ профилінде қайта келісім аралығын қысқартыңыз, екінші қол алысу көз алдыңызда өтсін, содан кейін екі журналды да бақылаңыз. Токеннің кіру кезінде шығарылатынын, кілт жаңарту кезінде ұсынылатынын және конфигурацияланған мерзімге сай жаңаратынын немесе қайта шығарылатынын растаңыз. Содан кейін токен мерзімінің бітуін және толық қайта қосылуды мәжбүрлеңіз, өйткені таза қайта қосылатын клиент те кілт жаңарту жолында сәтсіздікке ұшырауы мүмкін.

Тіркелгіні жоюды соңында сынаңыз. Бұл жағдай жазған саясатыңыздың орындалатынын әлде жай ғана құжатталғанын көрсетеді.

Оны жаңаруды өшірумен түзетпеңіз

Екі тарапта да қайта келісім аралығын нөлге түсіру симптомды да, кілт айналымын да жояды. Бұл тіркелгі деректерінің қайталану мәселесін ешкім қарамаған саясат өзгерісінің артына жасырады. Жаңаруды сақтап, пайдаланушы қасында ма, жоқ па — соған қарай сервер шығарған токен мен жаңа интерактивті шақырудың бірін таңдаңыз.

Ұзағырақ қайталау таймері жұмсалған кодты қайта жарамды етпейді. Ол тек ажырауды кешіктіріп, журналды оқуды қиындатады.