Kodėl VPN prisijungimas iš naujo prašo prisijungimo duomenų
Išsaugotas slaptažodis ir daugkartinis žetonas baigia galioti pagal skirtingus grafikus. Prieš ką nors keisdami kliente, perskaitykite, kokios medžiagos paprašė prisijungimas.
Tunelis, kuris veikė valandų valandas, prašo slaptažodžio tą akimirką, kai nešiojamasis kompiuteris pabunda, o konfigūracijoje niekas nepasikeitė. Pasikeitė prisijungimo duomenų, kuriuos prisijungimas bandė panaudoti iš naujo, būsena. Tam vadovauja trijų rūšių medžiaga, ir tik viena iš jų išgyvena bet kokią pertrauką.
Perskaitykite, kurios paprašė klientas, nes visos trys baigia galioti skirtingais laikrodžiais ir nepavyksta su skirtingomis žinutėmis.
Trijų rūšių daugkartinė medžiaga
Talpykloje esantis slaptažodis yra paslaptis, kurią laiko klientas, ir galioja tol, kol paskyra jį pakeičia. Sesijos žetoną išduoda serveris po sėkmingo prisijungimo, jis turi savo galiojimo laiką ir gali būti bet kada atšauktas. TLS sesijos bilietas arba IKE saugos asociacija yra protokolo būsena, pigi atnaujinti ir visiškai nepriklausoma nuo jūsų slaptažodžio. Kiekvieną išduoda skirtingas komponentas, ir kiekviena baigia galioti savo sąlygomis.
Pirmoji išgyvena perkrovimą, antroji paprastai išgyvena miego režimą, o trečioji gali visai neišgyventi tinklo pakeitimo. Sumaišius jas gaunamas neteisingas sprendimas, pavyzdžiui, iš naujo nustatomas slaptažodis, kuris niekada nebuvo atmestas.
Pats raginimas yra diagnostika. Naršyklės langas ar antrojo veiksnio kodas reiškia, kad serveris pareikalavo interaktyvaus autentifikavimo, o tylus nepavykimas be raginimo reiškia, kad klientas niekada nenuejo taip toli, kad jo paklaustų.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Raktų atnaujinimas nėra iš naujo autentifikavimas
Raktų atnaujinimas pakeičia raktus išlaikydamas autentifikuotą tapatybę, todėl sveikame tunelyje jis kartkartėmis vyksta tyliai. Iš naujo autentifikavimas pakartoja pačią tapatybės patikrą, ir tai įvykis, kuriam reikia jūsų. IKEv2 aiškiai atskiria abu, o partneris gali reikalauti visiško iš naujo autentifikavimo nustatytu intervalu, neatsižvelgiant į tai, kiek raktų atnaujinimų įvyko tarp jų. Abu įvykiai iš išorės atrodo vienodai, kol perskaitote, kurį įvardija žurnalas.
OpenVPN elgiasi taip pat savo žodyne: pakartotinio derėjimosi intervalas atnaujina duomenų kanalą, o autentifikavimo žetonas gali būti grąžintas klientui, kad kitame prisijungime būtų išvengta visiško prisijungimo. Tas žetonas turi galiojimo laiką, ir serveris sprendžia, ar jį priimti dar kartą.
Taigi prisijungimas po aštuonių valandų gali nepavykti ten, kur prisijungimas po aštuonių minučių pavyko, be jokių konfigūracijos pakeitimų abiejose pusėse. Tai yra visas paaiškinimas dėl raginimo, kuris pasirodo tik po pietų.
Kai klientas negali įveikti naujo iššūkio
Politika, reikalaujanti naršyklės veiksmo, nepavyks kliente, kuris neturi būdo jo parodyti. Serveriai be grafinės sąsajos, paleidimo scenarijai ir seni profiliai, sukurti tik slaptažodžio autentifikavimui, visi atsitrenkia į tą sieną, o nepavykimas dažnai pasirodo kaip bendras laiko limitas, o ne autentifikavimo klaida.
Įrenginio ir tinklo perėjimai taip pat gali patekti į politikos vertinimo langą, todėl perėjimas iš Wi-Fi į prieigos tašką sutampa su patikra, kuri būtų įvykusi vis tiek. Šis sutapimas daro tinklą kaltu, kai priežastis yra laikmatis.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Pirmoji eilutė rodo pakartotinio derėjimosi ir autentifikavimo įvykius paties kliento žurnale, o antroji rodo saugos asociacijas, kurias strongSwan partneris šiuo metu turi. Palyginkite laiko žymes su momentu, kai pasirodė raginimas; sutapimas patvirtina laikmatį, o ne tinklą.
Ką pranešti ir ko neišjungti
Jei rankinis prisijungimas pavyksta, o automatinis pakartotinis naudojimas nuolat nepavyksta, pasakykite operatoriui būtent tai. Tai įvardija komponentą: pakartotinio naudojimo kelią, o ne prisijungimo duomenis. Nurodykite nepavykimo laiką, naudojamą paskyrą ir matyto raginimo tipą.
Neišjunkite antrojo veiksnio, nepraleiskite sertifikato tikrinimo ir neįklijuokite prisijungimo duomenų į scenarijų, kad prisijungimas būtų tylus. Kiekvienas iš šių veiksmų pašalina patikrą, kuriai politika egzistuoja, ir kiekvienas paverčia prisijungimo raginimą incidentu.
Vietoj to paprašykite palaikomo srauto: kliento, galinčio atlikti iššūkį, žetono galiojimo laiko, atitinkančio darbo dieną, arba patvirtinto neinteraktyvaus profilio mašinai, kuri negali paklausti. Visi tai yra konfigūracijos sprendimai, kuriuos kas nors gali patvirtinti, o apėjimas nėra.