Izslēgts no konta VPN atkārtojumu cilpas dēļ: vispirms apturiet klientu

02:40 konts tiek bloķēts, un pie tastatūras neviena nav. Klients plauktā turpina uzrādīt paroli, ko tas saglabāja pagājušajā mēnesī, vārteja to turpina noraidīt, un skaitītājs aiz bloķēšanas pieaug bez cilvēka līdzdalības. Tā ir atkārtojumu cilpa, nevis uzbrukums, un tā jāaptur pirms konta atjaunošanas.

Uztveriet to kā divas problēmas noteiktā kārtībā. Vispirms apturiet sūtītāju, pēc tam atjaunojiet piekļuvi, jo pretējā kārtība cilpu atsāks dažu minūšu laikā.

Noskaidrojiet, kurš process sūta neveiksmes

Sāciet no identitātes sistēmas laikatzīmēm un salīdziniet tās ar katru klientu, kuram ir konts. Pārvaldīts profils, bez uzraudzības strādājošs pakalpojums, atvilktnē esošs tālrunis un rezerves portatīvais dators ar veciem akreditācijas datiem — visi var autentificēties kā viena un tā pati persona. Tas, kas neizdodas ik pēc dažām sekundēm, ir cilpa, un tas, kas neizdodas reizi dienā, parasti ir aizmirsis cilvēks. Abi baro vienu un to pašu skaitītāju, un tur ir slazds.

Skaitoties, atšķiriet noraidījumu no nesasniedzamas vārtejas. Taimauts, nosaukuma izšķiršanas kļūda vai slēgta ports parasti nepalielina neveiksmju skaitītāju, savukārt pabeigta autentifikācijas apmaiņa, kas atgriež sliktu akreditācijas datu rezultātu, to palielina. Abu sajaukšana dod nepareizu labojumu, jo vienam vajag apturēt klientu, bet otram — salabot ceļu.

Trīs nosacījumi, kas nosaka reakciju

Trīs fakti sašaurina to līdz vienai atbildei. Pirmkārt, vai ieraksts rāda skaidru noraidījumu vai pārvades kļūdu. Otrkārt, vai identitāte ir kopīga vairākām ierīcēm vai pakalpojumiem. Treškārt, vai atkārtojošais klients ir jūsu pārvaldīts vai kāda cita kontrolēts.

Skaidrs noraidījums no viena jūsu kontrolēta klienta nozīmē apturēt to klientu, atslēgt bloķējumu pa apstiprināto ceļu un veikt vienu apzinātu pieteikšanos. Kopīga identitāte virza atbildi uz nodrošināšanu, nevis atslēgšanu, jo cilpa atsāksies tajā brīdī, kad otra ierīce atkal pieslēgsies. Pārvades kļūdas norāda uz tīkla slāni, kur konta aizsardzība nemaz nav jautājums.

Neviena no šīm atzarēm neietver aizsardzības vājināšanu. Bloķēšanas sliekšņi un ātruma ierobežojumi pastāv tāpēc, ka tas pats signāls, kas jūs kaitina pārtraukuma laikā, ir signāls, kas palēnina paroles minēšanas mēģinājumu.

Apturiet sūtītāju pirms atslēgšanas

Apturiet vienību vai savienojumu, kas turpina autentificēties, un apturiet to tā, lai tas pārdzīvotu pārstartēšanu. Klienta pauzēšana nav pietiekama, ja tā pakalpojums ir iestatīts startēt automātiski ieslēgšanas laikā.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Pagaidiet dažas minūtes un pārliecinieties, ka neveiksmju skaitītājs pārstāj kustēties. Šī pauze ir pierādījums, ka atradāt pareizo avotu. Ja neveiksmes turpinās, cilpa nāk no citurienes un atslēgšanas solis būtu velti iztērēts.

Tikai tad izmantojiet operatora dokumentēto atslēgšanas vai atjaunošanas procesu un izpildiet to ar tieši vienu kontrolētu pieteikšanos no ierīces, kuru plānojat paturēt. Precīzi sliekšņi, atdzesēšanas periodi un atjaunošanas formulējums ir atkarīgi no pakalpojuma, tāpēc lasiet tos, nevis miniet skaitli.

Novērsiet cēloni, lai tas neatgrieztos

Atjauniniet saglabātos akreditācijas datus tur, kur tie pieder: operētājsistēmas atslēgu saišķī, klienta profilā vai pakalpojuma konta konfigurācijā. Dzēšana vienā vietā, kamēr cita glabā kopiju, ir veids, kā cilpa atgriežas pēc nedēļas, parasti tad, kad portatīvais dators, kas bija bezsaistē, atgriežas un atkārto savu kešoto vērtību.

Piešķiriet automatizācijai savu identitāti. Atsevišķi nodrošināts konts ar saviem akreditācijas datiem un saviem limitiem neļauj mašīnas kļūmei izslēgt cilvēku no e-pasta un padara kļūmi attiecināmu žurnālos. Pievienojiet klientam atkāpšanos, lai noraidīti akreditācijas dati apturētu atkārtojumus, nevis tos atkārtotu, un iestatiet trauksmi par atkārtotām autentifikācijas kļūmēm, lai nākamā cilpa tiktu pamanīta dažu minūšu laikā, nevis 02:40.

Kad ziņojums nonāk atbalsta dienestā, saglabājiet konta identifikatoru, laikatzīmes un klienta nosaukumu. Paroles un atjaunošanas materiāli nekad neietilpst šajā ierakstā.