Firwat eng VPN-Neiverbindung nach eng Kéier Umellinformatione verlaangt
E gespäichert Passwuert an en Token, deen nei benotzt ka ginn, lafen no verschidde Pläng of. Liest, wéi ee Material d'Neiverbindung verlaangt huet, ier Dir eppes um Client ännert.
En Tunnel, deen iwwer Stonne funktionéiert huet, verlaangt e Passwuert an deem Ament, wou den Laptop opwächt, an an der Konfiguratioun huet sech näischt geännert. Wat sech geännert huet, ass den Zoustand vun der Umellinformatioun, déi d'Neiverbindung probéiert huet nach eng Kéier ze benotzen. Dräi Aarte vu Material bestëmmen dat, a just eng dovu iwwerlieft eng willekärlech Paus.
Liest wéi eng de Client verlaangt huet, well déi dräi no verschidden Aueren oflafen an mat verschidden Noriichten feelen.
Dräi Aarte vu Material, deen nei ka benotzt ginn
E Passwuert am Tëschespäicher ass e Geheimnis, dat de Client hält, an et bleift gülteg, bis den Kont et ännert. En Sessiouns-Token gëtt vum Server no enger erfollegräicher Umeldung ausgestallt, dréit seng eege Liewensdauer a kann zu all Moment zréckgezu ginn. En TLS-Sessiounsticket oder eng IKE-Sécherheetsassociatioun ass Protokollzoustand, bëlleg fir weiderzemaachen a komplett onofhängeg vun Ärem Passwuert. Jiddereen gëtt vun enger anerer Komponent ausgestallt, a jiddereen leeft no sengen eegene Konditiounen of.
Dee vun der éischter Aart iwwerlieft en Neistart, den zweete meeschtens eng Paus, an den drëtten iwwerlieft vläicht guer net eng Netzwierkännerung. Si ze verwiesselen ergëtt déi falsch Léisung, wéi e Passwuert zrécksetzen, dat ni ofgeleent gouf.
D'Ufuerderung selbst ass d'Diagnos. E Browserfenster oder en zweete Faktorcode heescht, datt de Server interaktiv Authentifikatioun verlaangt huet, während en datenlose Feeler ouni Ufuerderung heescht, datt de Client ni wäit genuch komm ass, fir gefrot ze ginn.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Schlëssel erneieren ass keng nei Authentifikatioun
Eng Erneierung vun de Schlësselen ersetzt d'Schlësselen an hält d'authentifizéiert Identitéit, dofir geschitt et op engem gesonden Tunnel heiansdo roueg. Eng nei Authentifikatioun widderhëlt d'Identitéitspréifung selwer, an dat ass d'Ereegnis, dat Iech brauch. IKEv2 trennt déi zwee ausdrécklech, an en Partner kann a engem definéierten Intervall eng komplett nei Authentifikatioun verlaangen, egal wéi vill Schlëssel-Erneierungen tëschent du waren. Déi zwee Ereegnesser gesinn vun dobausse gläich aus, bis ee liest, wat de Log nennt.
OpenVPN verhält sech gläich a sengem eegene Vokabular: en Intervall vun der Neiverhandlung erfrëscht den Dateskanal, an en Authentifikatiouns-Token kann dem Client zréckginn ginn, fir bei der nächster Verbindung eng komplett Umeldung ze vermeiden. Dee Token huet eng Liewensdauer, an de Server entscheet, ob en en nach eng Kéier akzeptéiert.
Sou kann eng Neiverbindung no aacht Stonne feelen, wou eng Neiverbindung no aacht Minutten erfollegräich war, ouni Konfiguratiounsännerung op enger Säit. Dat ass déi ganz Erklärung fir eng Ufuerderung, déi eréischt nom Mëttegdaach erschéngt.
Wann de Client déi nei Erausfuerderung net ka fäerdech maachen
Eng Politik, déi e Browserschrëtt verlaangt, wäert op engem Client feelen, dee keng Méiglechkeet huet een ze weisen. Serveren ouni Interface, Startskripte a al Profiler, déi fir Authentifikatioun just mam Passwuert gebaut goufen, stoussen all op déi Mauer, an de Feeler erschéngt dacks als allgemeng Zäitiwwerschreidung an net als Authentifikatiounsfeeler.
Apparat- an Netzwierkiwwergäng kënnen och an en Auswäertungsfenster vun der Politik falen, dofir fällt eng Wanderung vu Wi-Fi op en Hotspot mat enger Préifung zesummen, déi ëmsoss geschitt wier. Dësen Zoufall mécht d'Netzwierk schëlleg, wärend den Timer d'Ursaach ass.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Déi éischt Linn weist Evenementer vun der Neiverhandlung an der Authentifikatioun am eegene Log vum Client, an déi zweet weist d'Sécherheetsassociatiounen, déi en strongSwan-Partner de Moment huet. Vergläicht d'Zäitstempel mam Ament, wou d'Ufuerderung erschéngt ass; eng Iwwereneestëmmung bestätegt den Timer an net d'Netzwierk.
Wat ze mellen an wat net ofzeschalten
Wann eng manuell Umeldung geléngt an d'automatesch Neibenotzung bestänneg feelt, sot dat genee dem Operateur. Et nennt d'Komponent: den Neibenotzungswee, net d'Umellinformatioun. Huet d'Zäit vum Feeler, den benotzten Kont an den Typ vun der Ufuerderung, déi Dir gesinn hutt, dobäi.
Deaktivéiert net den zweete Faktor, iwwerspréngt net d'Zertifikatsvalidéierung a pecht keng Umellinformatiounen an e Skript, fir d'Neiverbindung roueg ze maachen. Jidder vun dëse Saachen hëlt d'Préifung ewech, fir déi d'Politik existéiert, a jiddereen mécht aus enger Umeldungsfuerderung en Tëschefall.
Frot amplaz dee ënnerstëtzten Ablaf: e Client, deen d'Heraausfuerderung ka fäerdeg maachen, eng Token-Liewensdauer, déi zum Aarbechtsdag passt, oder en approuvéierte net-interaktive Profil fir d'Maschinn, déi net ka froen. Dat sinn all Konfiguratiounsentscheedungen, déi een approuvéiere kann, wat eng Ëmwee net ass.