VPN sesijos laikmatis ir autentifikavimo žetonas baigiasi atskirai

VPN nutrūkimas gali įvykti dėl priežasčių, kurios iš kliento pusės atrodo vienodai ir po paviršiumi neturi nieko bendra: tunelio sesija baigėsi, suveikė neveiklumo laikmatis arba paseno prisijungimo duomenys, kuriuos klientas naudojo pakartotinai. Kiekviena turi kitą savininką ir kitą sprendimą. Būtent klaidų seka nutrūkimo metu jas atskiria, ir paprastai tai viena eilutė.

Prieš vieną tunelį eina trys laikrodžiai, ir tik vienas jų yra pats tunelis.

Trys skirtingi laikrodžiai viename tunelyje

Sesijos laikrodis priklauso šliuzui: didžiausia jungties trukmė, neveiklumo laikas arba abu, ir jis baigia tunelį, kai pasiekiama bet kuri iš jų. Žetono laikrodis priklauso autentifikavimo sistemai ir nusprendžia, kiek laiko prisijungimo duomenis galima pateikti dar kartą be žmogaus. Maršruto laikrodis priklauso bet kuriam NAT ar užkardai tarp kliento ir šliuzo, ir jis leidžia nustoti galioti srautų, kuriuos laiko baigtais, susiejimams. Visi trys sukelia atjungimą, ir nė vienas nesuteikia tos pačios žurnalo eilutės.

Tik pirmasis yra VPN sąvoka. Kiti du pasiskolinti iš tapatybės ir tinklų, ir su juo dažnai painiojami.

Kaip žetonas iš tikrųjų naudojamas pakartotinai

OpenVPN serveriai gali išduoti autentifikavimo žetoną po pirmojo prisijungimo, todėl valdymo kanalo pakartotinės derybos nebereikalauja iš naudotojo prisijungimo duomenų. Klientas toliau pateikia tą žetoną, o serveris nusprendžia, kiek laiko jis lieka priimtinas. Kai žetono gyvavimo laikas trumpesnis už pakartotinių derybų intervalą, kitos derybos nepavyksta, ir klientas praneša autentifikavimo klaidą, o ne laiko limitą. Štai kodėl tas pats profilis veikia valandą, o paskui nepavyksta fiksuotame taške.

Pakartotinių derybų intervalas yra atskiras nustatymas. Jį pakeitus pasislenka, kada žetonas pateikiamas, o ne kiek jis gyvena.

Kaip kiekvienas pasibaigimas atrodo iš kliento pusės

Sesijos laiko limitas paprastai ateina kaip švarus atjungimas su serverio pusės priežastimi, dažnai po nuspėjamos trukmės ir be jokios autentifikavimo klaidos. Neveiklumo laiko limitas atrodo kaip tyla: tunelis nustoja perduoti srautą, tada ryšio palaikymas pasiduoda. Žetono pasibaigimas ateina kaip AUTH_FAILED sesijos viduryje, kuri dar prieš sekundę veikė.

Perskaitykite eilutę, tada pažiūrėkite į laikrodį. Trukmė, atitinkanti nustatytą reikšmę, nėra atsitiktinumas.

Kodėl išsaugotas slaptažodis nepadeda

Talpykloje esantis slaptažodis atsako į slaptažodžio iššūkį. Jis nepratęsia žetono gyvavimo ir netenkina antrojo veiksnio ar įrenginio būsenos patikros iššūkio. Bandymų dažnio didinimas, jungties laiko limitų trumpinimas ar profilio importavimas iš naujo nieko nekeičia tame, kiek laiko tapatybės sistema priims prisijungimo duomenis.

Ilgalaikiai sprendimai yra tinkamas gyvavimo laikas tinkamam objektui arba kliento srautas, galintis atlikti reikiamą iššūkį be žmogaus.

Ką dokumentuoti ir tikrinti

Užrašykite visas tris reikšmes: šliuzo sesijos ir neveiklumo limitus, žetono gyvavimo laiką ir trumpiausią svarbų susiejimo laiko limitą maršrute. Tada sąmoningai patikrinkite kiekvieną pasibaigimą sutrumpindami vieną reikšmę, stebėdami, ką praneša klientas, ir ją atkurdami. Patvirtinkite, ką naudotojas turi daryti kiekvienoje riboje, nes reikalavimas kas valandą prisijungti iš naujo yra sprendimas, kurį kažkas turėjo priimti sąmoningai.

Nutrūkimas, kuris ateina visiškai be jokio autentifikavimo įvykio, priklauso maršrutui arba neveiklumo laikmačiui, ir tai yra kitas tyrimas su kitais įrodymais.