VPN сессиясының таймері мен аутентификация токені бөлек бітеді

VPN үзілуі клиент жағынан бірдей көрінетін және ішінде ортақ ештеңесі жоқ себептерден болуы мүмкін: туннель сессиясы аяқталды, белсенсіздік таймері іске қосылды немесе клиент қайта пайдаланған тіркелгі деректері ескірді. Әрқайсысының иесі мен шешімі бөлек. Үзілу сәтіндегі қателер тізбегі оларды ажыратады, және ол әдетте бір жол.

Бір туннельге қарсы үш сағат жүреді, және олардың тек біреуі ғана туннельдің өзі.

Бір туннельдегі үш түрлі сағат

Сессия сағаты шлюзге тиесілі: қосылымның ең ұзақ мерзімі, белсенсіздік күту уақыты немесе екеуі де, және олардың біреуіне жеткенде туннельді тоқтатады. Токен сағаты аутентификация жүйесіне тиесілі және тіркелгі деректерін адамсыз қанша уақыт қайта ұсынуға болатынын анықтайды. Жол сағаты клиент пен шлюз арасындағы кез келген NAT немесе брандмауэрге тиесілі және аяқталды деп санайтын ағындардың салыстыруларын бітіреді. Үшеуі де үзіліс тудырады, және ешқайсысы бірдей журнал жолын бермейді.

Тек біріншісі VPN түсінігі. Қалған екеуі сәйкестендіру мен желіден алынған, және олармен жиі шатастырылады.

Токен шын мәнінде қалай қайта пайдаланылады

OpenVPN серверлері алғашқы кіруден кейін аутентификация токенін бере алады, сондықтан басқару арнасының қайта келіссөзі пайдаланушыдан тіркелгі деректерін қайта сұрамайды. Клиент сол токенді ұсына береді, ал сервер оның қанша уақыт қолайлы болып қалатынын шешеді. Токеннің өмірі қайта келіссөз аралығынан қысқа болса, келесі келіссөз сәтсіз аяқталады және клиент күту уақытының орнына аутентификация қатесін хабарлайды. Сондықтан бірдей профиль бір сағат жұмыс істейді де, кейін белгілі бір нүктеде сәтсіз аяқталады.

Қайта келіссөз аралығы жеке параметр. Оны өзгерту токеннің қашан ұсынылатынын жылжытады, қанша өмір сүретінін емес.

Әрбір біту клиент жағынан қалай көрінеді

Сессияның күту уақыты әдетте сервер жағының себебімен таза үзіліс ретінде келеді, көбіне болжамды мерзімнен кейін және аутентификация қатесінсіз. Белсенсіздік күту уақыты тыныштыққа ұқсайды: туннель трафикті тасымалдауды тоқтатады, содан кейін keepalive бас тартады. Токеннің бітуі бір секунд бұрын жұмыс істеп тұрған сессияның ортасында AUTH_FAILED ретінде келеді.

Жолды оқыңыз, содан кейін сағатқа қараңыз. Конфигурацияланған мәнге сәйкес келетін мерзім кездейсоқтық емес.

Сақталған құпиясөз неге көмектеспейді

Кэштегі құпиясөз құпиясөз үшін қойылатын талапқа жауап береді. Ол токеннің өмірін ұзартпайды және екінші фактор немесе құрылғы күйін тексеру талабын қанағаттандырмайды. Қайта әрекет ету жиілігін арттыру, қосылым күту уақыттарын қысқарту немесе профильді қайта импорттау сәйкестендіру жүйесінің тіркелгі деректерін қанша уақыт қабылдайтынын өзгертпейді.

Тұрақты шешімдер — дұрыс нысандағы дұрыс өмір сүру мерзімі немесе қажетті талапты адамсыз орындай алатын клиент ағыны.

Нені құжаттау және тексеру керек

Үш мәнді де жазыңыз: шлюздің сессия және белсенсіздік шектері, токеннің өмірі және жолдағы ең қысқа тиісті салыстыру күту уақыты. Содан кейін бір мәнді қысқартып, әр бітуді әдейі тексеріңіз, клиенттің не хабарлайтынын бақылаңыз және оны қалпына келтіріңіз. Әр шекарада пайдаланушының не істеуі керектігін растаңыз, өйткені сағат сайын толық кіруді талап ету — біреудің әдейі қабылдауы тиіс саясат шешімі.

Аутентификация оқиғасынсыз келетін үзіліс жолға немесе белсенсіздік таймеріне жатады, және бұл басқа дәлелдермен жүргізілетін басқа тергеу.