Den VPN-Sessiouns-Timer an den Authentifikatiouns-Token lafen separat of

En VPN-Ofbroch kann aus Grënn geschéien, déi vum Client aus identesch ausgesinn an ënner der Uewerfläch näischt gemeinsam hunn: d'Tunnelsessioun ass fäerdeg, en Idle-Timer ass ugaang, oder en Noutweis, deen de Client erëm benotzt huet, gouf vereeltert. Jiddereen huet en aneren Eegentümer an eng aner Léisung. Genee d'Feelerfolleg am Moment vum Ofbroch ass et, wat se trennt, an déi ass meeschtens eng Linn.

Dräi Aueren lafen géint een Tunnel, an nëmmen eng dovun ass den Tunnel.

Dräi verschidden Aueren op engem Tunnel

D'Sessiounsaass gehéiert zum Gateway: eng maximal Verbindungsdauer, en Idle-Timeout oder béides, an si beendet den Tunnel, soubal engs vun deenen zwee erreecht ass. D'Token-Auer gehéiert zum Authentifikatiounssystem, an si entscheet, wéi laang en Noutweis ouni Mënsch erëm ka presentéiert ginn. D'Weedauer gehéiert zu all NAT oder Firewall tëscht Client a Gateway, an si léisst d'Mappingen oflafen fir Stréim, déi si als fäerdeg ugesäit. Déi dräi produzéieren eng Trennung, an keng produzéiert déiselwecht Log-Linn.

Nëmmen déi éischt ass e VPN-Konzept. Déi aner zwou sinn aus Identitéit an Netzwierk geléint, an si ginn dacks domat verwiesselt.

Wéi den Token tatsächlech erëm benotzt gëtt

OpenVPN-Servere kënnen no der éischter Umeldung en Authentifikatiouns-Token ausginn, sou datt eng Neiverhandlung vum Steierkanal de Benotzer net erëm no Zougangsdaten freet. De Client presentéiert dësen Token weider, an de Server entscheet, wéi laang en akzeptabel bleift. Wann d'Liewensdauer vum Token méi kuerz ass wéi den Neiverhandlungsintervall, schléit déi nächst Neiverhandlung fehl, an de Client mellt en Authentifikatiounsfeeler amplaz vun engem Timeout. Dofir funktionéiert deeselwechte Profil eng Stonn a schléit duerno op engem fixe Punkt fehl.

Den Neiverhandlungsintervall ass eng eege Astellung. Ee geännert, verréckelt wéini den Token presentéiert gëtt, net wéi laang en lieft.

Wéi all Oflaf vum Client ausgesäit

En Sessiouns-Timeout kënnt meeschtens als propper Trennung mat engem Grond vun der Serversäit, dacks no enger viraussobarer Dauer an ouni en Ubauge vun engem Authentifikatiounsfeeler. En Idle-Timeout gesäit aus wéi Stëllt: den Tunnel hält op, Verkéier ze droen, duerno gëtt de Keepalive op. En Token-Oflaf kënnt als AUTH_FAILED an der Mëtt vun enger Sessioun, déi eng Sekonn virdrun nach gelaf ass.

Liest d'Linn, kuckt duerno op d'Auer. Eng Dauer, déi zu enger konfiguréierter Wäert passt, ass keen Zufall.

Firwat en gespäichert Passwuert net hëlleft

E gespäichert Passwuert beäntwert eng Ufuerderung fir e Passwuert. Et verlängert keng Token-Liewensdauer, an et erfëllt keng Ufuerderung fir en zweeten Faktor oder eng Prüfung vum Zoustand vum Apparat. Méi heefeg Widderhuelungen, méi kuerz Verbindungs-Timeouts oder en erneierten Import vum Profil ännere näischt dorun, wéi laang d'Identitéitssystem den Noutweis akzeptéiert.

Déi duerchhalteg Korrekture sinn déi richteg Liewensdauer um richtegen Objet, oder e Client-Ofleef, deen déi gefuerdert Ufuerderung ouni Mënsch kann ofschléissen.

Wat ze dokumentéieren an ze testen

Schreift all dräi Wäerter op: d'Sessiouns- an Idle-Limitte vum Gateway, d'Liewensdauer vum Token an de kierzten relevante Mapping-Timeout um Wee. Test dann all Oflaf bewosst, andeems Dir ee Wäert verkuerzt, kuckt wat de Client mellt, an en erëm restauréiert. Bestätegt, wat de Benotzer op all Grenz maache muss, well eng vollstänneg Umeldung all Stonn ze verlaangen eng Politikentscheedung ass, déi een hätt misse bewosst huelen.

En Ofbroch, deen ouni iergendeng Authentifikatiouns-Evenement kënnt, gehéiert zum Wee oder zum Idle-Timer, an dat ass eng aner Enquête mat aneren Beweiser.