OpenVPN trennt eng OTP-Sessioun méi spéit: wat eng Reauthentifikatioun brauch

Vum Client senger Säit gesäit et aus wéi en zoufällegen Disconnect eng Stonn an enger lafender Sessioun. D'Tray-Ikon verschwënnt, den Tunnel gëtt nei opgebaut, an de Log weist en Authentifikatiounsfehler anstatt en Netzfehler. Wat tatsächlech geschitt ass, war datt d'Sessioun nei verhandelt huet an den zweeten Handshake Umeldungsdaten gebraucht huet, vun deenen de Client keng gülteg Kopie méi hat. En Einmolecode, dee beim Login funktionéiert huet, kann net nach eng Kéier funktionéieren, also fällt de Rekey genee esou aus, wéi et geduecht war.

D'Léisung ass eng Entscheedung dorüms, wat den zweeten Handshake soll presentéieren, an net en längeren Retry-Timer.

Gitt den Austausch aus dem Client senger Siicht duerch

Beim Login schéckt de Client de Benotzernumm, d'Passwuert an e Code vum Token-Gerät, an de Server akzeptéiert dës Kombinatioun. Duerno leeft d'Sessioun, bis en Trigger fir nei Verhandlung ausgeléist gëtt, deen en neien TLS-Handshake am bestehenden Tunnel start. Dee Handshake freet nach eng Kéier no Authentifikatioun. Wann den Authentifikatiounswee vum Server e Passwuert plus en aktuelle Einmolecode erwaart, huet de Client kee neien Code unzebidden, ausser de Benotzer ass do, fir een anzeginn.

Déi meescht Clienten opmaache kee Prompt mëttendran an der Sessioun, also leeft den Handshake of an den Tunnel fällt. De Benotzer gesäit eng Reconnectioun, net e Authentifikatiouns-Prompt, an dofir gëtt den éischte Rapport meeschtens dem Netz d'Schold.

auth-gen-token ännert, wien déi zweet Fro beäntwert

D'Optioun auth-gen-token erlaabt et dem Server, nom erfolvege Login en Token auszeginn, an duerno Verhandlungen presentéieren deen Token amplaz d'Passwuert an de Code ze widderhuelen. D'Handbuch dokumentéiert seng Liewensdauer a säin Erneierungsverhalen, an den Token muss als Umeldungsdat mat engem eegene Verfallsdatum behandelt ginn. Am Standardwee validéiert de Server den Token selwer, amplaz den externe Passwuert-Authentikator nach eng Kéier ze ruffen.

Mat enger externer Authentifikatiouns-Integratioun ännert sech déi Aufgabendeelung. De Plugin muss den Token-Zoustand verstoen an seng eege Kontrollen uwenden, well de Server net méi déi eenzeg Komponent ass, déi entscheet, ob d'Sessioun weiderlaf. Den Token als nach en numereschen Einmolecode ze behandelen ass keng Ëmsetzung vun dëser Funktioun.

Entscheet, wat mam Account-Status geschitt

En Token, deen den Zougang vun engem Account iwwerlieft, ass en Lach an der Policy. Entscheet, wéi en deaktivéierten Account, eng entzunn Gruppememberschaft oder en zréckgezunn Gerät wierkt, während en Token nach gülteg ass. Kuerz Token-Liewensdauere maachen d'Fënster méi kleng; en explizite Widderruffwee mécht se bewosst. Schreift d'Äntwert op, ier Dir d'Optioun aktivéiert, well den Standardwee den externen Authentikator net bei all neier Verhandlung consultéiert.

An enger Multi-Server-Deployement muss de Geheimnis fir d'Token-Signatur gedeelt ginn, soss kann de Client op e Knuet geschéckt ginn, deen säin Token net validéiere kann.

Test d'Verfallsdatum an d'Reconnectioun, net nëmmen de Login

Setzt de Verhandlungsintervall an engem Testprofil erof, sou datt den zweeten Handshake geschitt, während Dir kuckt, an duerno verfollegt béid Loggen. Bestätegt, datt den Token beim Login ausginn, beim Rekey presentéiert an no der konfiguréierter Liewensdauer erneiert oder nei ausginn gëtt. Da forcéiert en Token-Verfall an eng komplett Reconnectioun, well e Client, deen sech propper reconnectéiert, am Rekey-Wee nach ëmmer ausfale kann.

Test d'Account-Entfernung als Lescht. Dee Fall seet Iech, ob d'Policy, déi Dir opgeschriwwen hutt, ëmgesat oder just dokumentéiert gëtt.

Flickt et net, andeems Dir d'Erneierung ausschalt

Den Verhandlungsintervall op béide Peeren op Null ze setzen hëlt de Symptom an domat d'Schlësselrotatioun ewech. Dat verstoppt e Problem mat der Widderverwendung vun Umeldungsdaten hannert enger Policy-Ännerung, déi keen iwwerpréift huet. Behält d'Erneierung a wielt tëscht engem Token vum Server an enger neier interaktiver Erausfuerderung, jee no deem, ob e Benotzer do ass.

En längeren Retry-Timer mécht ene verbrauchten Code net erëm gülteg. Hien delaiërt just den Disconnect a mécht de Log méi schwéier ze liesen.