Užrakinti dėl VPN kartojimo ciklo: pirmiausia sustabdykite klientą

02:40 paskyra užrakinama ir prie klaviatūros nėra nė vieno žmogaus. Lentynoje esantis klientas toliau pateikia slaptažodį, kurį išsaugojo praėjusį mėnesį, vartai toliau jį atmeta, o užrakinimo fone esantis skaitiklis auga be žmogaus dalyvavimo. Tai kartojimo ciklas, o ne ataka, ir jį reikia sustabdyti anksčiau, nei paskyrą bus galima atkurti.

Traktuokite tai kaip dvi problemas nustatyta tvarka. Pirmiausia sustabdykite siuntėją, tada atkurkite prieigą, nes priešinga tvarka ciklą vėl paleis per kelias minutes.

Nustatykite, kuris procesas siunčia nesėkmes

Pradėkite nuo tapatybės sistemos laiko žymų ir sulyginkite jas su kiekvienu klientu, kuris turi paskyrą. Tvarkomas profilis, be priežiūros veikianti paslauga, stalčiuje esantis telefonas ir atsarginis nešiojamasis kompiuteris su senais duomenimis — visi gali autentifikuotis kaip tas pats asmuo. Tas, kuris nepavyksta kas kelias sekundes, yra ciklas, o tas, kuris nepavyksta kartą per dieną, paprastai yra pamiršęs žmogus. Abu maitina tą patį skaitiklį, ir čia yra spąstai.

Kol žiūrite, atskirkite atmetimą nuo nepasiekiamų vartų. Laiko limitas, vardo sprendimo klaida ar uždarytas prievadas paprastai nedidina nesėkmių skaitiklio, o užbaigti autentifikacijos mainai, grąžinantys blogų duomenų rezultatą, jį padidina. Sumaišius abu gaunamas neteisingas sprendimas, nes vienas reikalauja sustabdyti klientą, o kitas – sutaisyti kelią.

Trys sąlygos, lemiančios atsaką

Trys faktai susiaurina tai iki vieno atsakymo. Pirma, ar įrašas rodo aiškų atmetimą, ar perdavimo gedimą. Antra, ar tapatybė bendra keliems įrenginiams ar paslaugoms. Trečia, ar kartojantis klientas yra jūsų valdomas, ar valdomas ko nors kito.

Aiškus vieno jūsų valdomo kliento atmetimas reiškia sustabdykite tą klientą, atraukinkite patvirtintu keliu ir atlikite vieną sąmoningą prisijungimą. Bendra tapatybė nukreipia atsakymą link tiekimo, o ne atrakinimo, nes ciklas atsinaujins tą akimirką, kai kitas įrenginys vėl prisijungs. Perdavimo gedimai nurodo tinklo sluoksnį, kur paskyros apsauga visiškai ne prie ko.

Nė viena iš šių šakų nereikalauja susilpninti apsaugos. Užrakinimo slenksčiai ir dažnio ribos egzistuoja todėl, kad tas pats signalas, kuris erzina per sutrikimą, yra signalas, kuris sulėtina slaptažodžio spėjimo bandymą.

Sustabdykite siuntėją prieš atrakindami

Sustabdykite įrenginį ar ryšį, kuris toliau autentifikuojasi, ir sustabdykite taip, kad tai išliktų po perkrovimo. Kliento pristabdymo nepakanka, kai jo paslauga nustatyta paleisti automatiškai įkrovimo metu.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Palaukite kelias minutes ir patvirtinkite, kad nesėkmių skaitiklis nustojo judėti. Ta pauzė yra įrodymas, kad radote tinkamą šaltinį. Jei nesėkmės tęsiasi, ciklas ateina iš kitur ir atrakinimo žingsnis būtų veltui.

Tik tada naudokite operatoriaus dokumentuotą atrakinimo ar atkūrimo procesą ir atlikite jį su tiksliai vienu kontroliuojamu prisijungimu iš įrenginio, kurį ketinate pasilikti. Tikslūs slenksčiai, atvėsimo laikotarpiai ir atkūrimo formuluotės priklauso nuo paslaugos, todėl skaitykite juos, o ne spėliokite skaičių.

Pašalinkite priežastį, kad ji nesugrįžtų

Atnaujinkite išsaugotus duomenis ten, kur jie priklauso: operacinės sistemos raktinėje, kliento profilyje arba paslaugos paskyros konfigūracijoje. Ištrinti vienoje vietoje, kol kita saugo kopiją, yra būdas, kuriuo ciklas sugrįžta po savaitės, paprastai tada, kai ne prisijungęs nešiojamasis kompiuteris grįžta ir vėl atkuria savo podėlyje laikomą reikšmę.

Suteikite automatizacijai atskirą tapatybę. Atskirai sukurta paskyra su savais duomenimis ir savo limitais neleidžia mašinos gedimui užrakinti žmogaus be elektroninio pašto ir leidžia gedimą priskirti žurnaluose. Pridėkite klientui atsitraukimą, kad atmesti duomenys sustabdytų kartojimus, o ne juos kartotų, ir nustatykite signalą dėl pasikartojančių autentifikacijos nesėkmių, kad kitas ciklas būtų pastebėtas per kelias minutes, o ne 02:40.

Kai ataskaita keliauja į pagalbą, pasilikite paskyros identifikatorių, laiko žymas ir kliento pavadinimą. Slaptažodžiai ir atkūrimo medžiaga niekada nepriklauso tam įrašui.