VPN кайра туташканда эсептик маалыматтар эмнеге кайра суралат
Сакталган сырсөз жана кайра колдонулуучу токен ар башка график боюнча бүтөт. Клиентте бир нерсени өзгөртүүдөн мурун кайра туташуу кайсы материалды сураганын окуңуз.
Сааттар бою иштеген туннель ноутбук ойгонгон учурда сырсөз сурайт, ал эми конфигурацияда эч нерсе өзгөргөн жок. Өзгөргөн нерсе — кайра туташуу кайра колдонмок болгон эсептик маалыматтын абалы. Муну материалдын үч түрү башкарат жана алардын бирөө гана каалаган тыныгуудан аман калат.
Клиент кайсынысын сураганын окуңуз, анткени үчөө тең ар башка саат менен бүтүп, ар башка билдирүүлөр менен ишке ашпайт.
Кайра колдонулуучу материалдын үч түрү
Кэштеги сырсөз — клиент кармаган сыр, ал эсеп аны өзгөрткөнгө чейин жарактуу. Сессия токенин сервер ийгиликтүү кирүүдөн кийин берет, анын өз өмүрү бар жана каалаган учурда жокко чыгарылышы мүмкүн. TLS сессия билети же IKE коопсуздук ассоциациясы — протокол абалы, улантууга арзан жана сырсөзүңүздөн толук көз карандысыз. Ар бирин өзүнчө компонент берет жана ар бири өз шарттары боюнча бүтөт.
Биринчиси кайра жүктөөдөн аман калат, экинчиси адатта уйкудан аман калат, үчүнчүсү тармак өзгөрүүсүнөн такыр аман калбашы мүмкүн. Аларды аралаштыруу туура эмес чечимге алып келет, мисалы, эч качан четке кагылбаган сырсөздү калыбына келтирүү.
Сурам өзү — диагностика. Браузер терезеси же экинчи фактордун коду сервер интерактивдүү аутентификация талап кылганын билдирет, ал эми сурамсыз үнсүз ишке ашпоо клиент сурала турган жерге жетпегенин билдирет.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Ачкычтарды жаңыртуу — кайра аутентификация эмес
Ачкычтарды жаңыртуу аутентификацияланган инсанды сактап, ачкычтарды алмаштырат, ошондуктан ден соолугу жакшы туннелде ал кээде үнсүз жүрөт. Кайра аутентификация инсанды текшерүүнү өзүн кайталайт жана сиздин катышууңузду талап кылган окуя дал ошол. IKEv2 экөөнү ачык бөлөт жана шерик арасында канча ачкыч жаңыртуу болгонуна карабастан, белгиленген аралыкта толук кайра аутентификация талап кыла алат. Бул эки окуя журнал кайсынысын атаганын окуганга чейин сырттан бирдей көрүнөт.
OpenVPN өз сөздүгүндө ушундай эле жүрөт: кайра сүйлөшүү аралыгы маалымат каналын жаңыртат, ал эми кийинки туташууда толук кирүүдөн качуу үчүн аутентификация токенин клиентке кайтарып берсе болот. Ал токендин мөөнөтү бар жана аны кайра кабыл алууну сервер чечет.
Ошондуктан сегиз сааттан кийинки кайра туташуу сегиз мүнөттөн кийинки кайра туташуу ийгиликтүү болгон жерде ишке ашпай калышы мүмкүн, эки тарапта тең конфигурация өзгөрбөстөн. Түшкү тамактан кийин гана көрүнгөн сурамдын толук түшүндүрмөсү ушул.
Клиент жаңы чакырыкты аткара албаганда
Браузер кадамын талап кылган саясат аны көрсөтүү жолу жок клиентте ишке ашпайт. Башкарма интерфейси жок серверлер, иштетүү скрипттери жана сырсөз менен гана аутентификацияга курулган эски профилдер ушул дубалга кагылат, ал эми ишке ашпоо көбүнчө аутентификация катасы эмес, жалпы убакыттын бүтүшү катары көрүнөт.
Түзмөк жана тармак өтүүлөрү да саясатты баалоо терезесине түшүшү мүмкүн, ошондуктан Wi-Fi'ден хотспотко өтүү баары бир боло турган текшерүү менен дал келет. Бул дал келүү себеп таймер болгондо тармакты күнөөлүү көрсөтөт.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Биринчи сап клиенттин өз журналындагы кайра сүйлөшүү жана аутентификация окуяларын көрсөтөт, экинчиси strongSwan шериги азыр кармаган коопсуздук ассоциацияларын көрсөтөт. Убакыт белгилерин сурам пайда болгон учур менен салыштырыңыз; дал келүү тармакты эмес, таймерди тастыктайт.
Эмнени билдирүү керек жана эмнени өчүрбөө керек
Кол менен кирүү ийгиликтүү болуп, автоматтык кайра колдонуу тынымсыз ишке ашпаса, операторго дал ушундай деп айтыңыз. Бул компонентти атайт: кайра колдонуу жолу, эсептик маалымат эмес. Ишке ашпоо убактысын, колдонулган эсепти жана көргөн сурам түрүн кошуңуз.
Кайра туташууну үнсүз кылуу үчүн экинчи факторду өчүрбөңүз, сертификатты текшерүүнү өткөрүп жибербеңиз жана эсептик маалыматтарды скриптке чаптабаңыз. Алардын ар бири саясат аткаруу үчүн бар текшерүүнү алып салат жана ар бири кирүү сурамын окуяга айландырат.
Анын ордуна колдоого алынган агымды сураңыз: чакырыкты бүтүрө алган клиент, жумуш күнүнө туура келген токен мөөнөтү же сурам көрсөтө албаган машине үчүн бекитилген интерактивдүү эмес профиль. Булардын баары бирөө беките турган конфигурация чечимдери, ал эми айланып өтүү андай эмес.