VPN қайта қосылғанда тіркелгі деректері неге қайта сұралады
Сақталған құпиясөз бен қайта пайдаланылатын токен әртүрлі кесте бойынша мерзімі бітеді. Клиентте бірдеңені өзгерту алдында қайта қосылу қандай материал сұрағанын оқыңыз.
Сағаттар бойы жұмыс істеген туннель ноутбук оянатын сәтте құпиясөз сұрайды, ал конфигурацияда ештеңе өзгермеген. Өзгерген нәрсе — қайта қосылу қайта пайдаланбақ болған тіркелгі дерегінің күйі. Мұны материалдың үш түрі басқарады және олардың тек біреуі ғана кез келген үзілістен аман қалады.
Клиент қайсысын сұрағанын оқыңыз, өйткені үшеуі әртүрлі сағатпен мерзімі бітіп, әртүрлі хабарламамен сәтсіз аяқталады.
Қайта пайдаланылатын материалдың үш түрі
Кэштегі құпиясөз — клиент ұстайтын құпия, ол тіркелгі оны өзгерткенге дейін жарамды. Сессия токенін сервер сәтті кіруден кейін береді, оның өз өмірлік мерзімі бар және кез келген сәтте жойылуы мүмкін. TLS сессиялық билеті немесе IKE қауіпсіздік ассоциациясы — протокол күйі, жалғастыруға арзан және құпиясөзіңізден толығымен тәуелсіз. Әрқайсысын бөлек құрамдас береді және әрқайсысы өз шарттарымен мерзімі бітеді.
Біріншісі қайта жүктеуден аман қалады, екіншісі әдетте ұйқыдан аман қалады, ал үшіншісі желі өзгерісінен мүлде аман қалмауы мүмкін. Оларды шатастыру қате түзетуге әкеледі, мысалы, ешқашан қабылданбаған құпиясөзді қалпына келтіру.
Сұрау өзі — диагностика. Браузер терезесі немесе екінші фактор коды сервер интерактивті аутентификация талап еткенін білдіреді, ал сұраусыз үнсіз сәтсіздік клиент сұралатын жерге жетпегенін білдіреді.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Кілттерді жаңарту — қайта аутентификация емес
Кілттерді жаңарту аутентификацияланған жеке басты сақтай отырып кілттерді ауыстырады, сондықтан сау туннельде ол мезгіл-мезгіл үнсіз жүреді. Қайта аутентификация жеке басты тексеруді қайталайды және дәл сол оқиға сізді қажет етеді. IKEv2 екеуін анық бөледі, ал серіктес арасында қанша кілт жаңарту болғанына қарамастан, белгіленген аралықта толық қайта аутентификация талап ете алады. Бұл екі оқиға журнал қайсысын атағанын оқығанша сырттан бірдей көрінеді.
OpenVPN өз сөздігінде дәл солай әрекет етеді: қайта келіссөз аралығы деректер арнасын жаңартады, ал келесі қосылымда толық кіруден құтылу үшін аутентификация токенін клиентке қайтаруға болады. Бұл токеннің мерзімі бар және сервер оны қайта қабылдауды шешеді.
Сондықтан сегіз сағаттан кейінгі қайта қосылу сегіз минуттан кейінгі қайта қосылу сәтті болған жерде сәтсіз болуы мүмкін, екі жақта да конфигурация өзгермей. Түскі астан кейін ғана көрінетін сұраудың толық түсіндірмесі осы.
Клиент жаңа сын-қатерді орындай алмағанда
Браузер қадамын талап ететін саясат оны көрсету жолы жоқ клиентте сәтсіз болады. Башкарма интерфейси жоқ серверлер, іске қосу скрипттері және тек құпиясөзбен аутентификацияға арналған ескі профильдер осы қабырғаға соғылады, ал сәтсіздік көбіне аутентификация қатесі емес, жалпы уақыттың бітуі ретінде көрінеді.
Құрылғы мен желі ауысулары да саясатты бағалау терезесіне түсуі мүмкін, сондықтан Wi-Fi-дан хотспотқа көшу бәрібір болатын тексерумен сәйкес келеді. Бұл сәйкестік себеп таймер болғанда желіні кінәлі көрсетеді.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Бірінші жол клиенттің өз журналындағы қайта келіссөз және аутентификация оқиғаларын көрсетеді, екіншісі strongSwan серіктесі қазір ұстайтын қауіпсіздік ассоциацияларын көрсетеді. Уақыт белгілерін сұрау пайда болған сәтпен салыстырыңыз; сәйкестік желіні емес, таймерді растайды.
Нені хабарлау керек және нені өшіруге болмайды
Қолмен кіру сәтті болып, автоматты қайта пайдалану үнемі сәтсіз болса, операторға дәл соны айтыңыз. Бұл құрамдасты атайды: қайта пайдалану жолы, тіркелгі дерегі емес. Сәтсіздік уақытын, пайдаланылған тіркелгіні және көрген сұрау түрін қосыңыз.
Қайта қосылуды үнсіз ету үшін екінші факторды өшірмеңіз, сертификатты тексеруді өткізіп жібермеңіз және тіркелгі деректерін скриптке қоймаңыз. Олардың әрқайсысы саясаттың орындау үшін бар тексеруін жояды және әрқайсысы кіру сұрауын оқиғаға айналдырады.
Оның орнына қолдау көрсетілетін ағымды сұраңыз: сын-қатерді аяқтай алатын клиент, жұмыс күніне сай токен мерзімі немесе сұрау көрсете алмайтын машина үшін бекітілген интерактивті емес профиль. Бұлардың бәрі біреу бекіте алатын конфигурациялық шешімдер, ал айналып өту ондай емес.