VPN sesijas taimeris un autentifikācijas marķieris beidzas atsevišķi

VPN pārrāvums var notikt tādu iemeslu dēļ, kas no klienta puses izskatās vienādi un zem virsmas nav nekas kopīgs: tuneļa sesija beidzās, iedarbojās dīkstāves taimeris vai novecoja akreditācijas dati, ko klients izmantoja atkārtoti. Katram ir cits īpašnieks un cits risinājums. Tieši kļūdu secība pārrāvuma brīdī tos atšķir, un parasti tā ir viena rinda.

Pret vienu tuneli iet trīs pulksteņi, un tikai viens no tiem ir pats tunelis.

Trīs dažādi pulksteņi vienā tunelī

Sesijas pulkstenis pieder vārtejai: maksimālais savienojuma ilgums, dīkstāves limits vai abi, un tas beidz tuneli, kad tiek sasniegts jebkurš no tiem. Marķiera pulkstenis pieder autentifikācijas sistēmai, un tas nosaka, cik ilgi akreditācijas datus var atkārtoti uzrādīt bez cilvēka. Ceļa pulkstenis pieder jebkuram NAT vai ugunsmūrim starp klientu un vārteju, un tas ļauj beigties to plūsmu kartējumiem, kuras tas uzskata par pabeigtām. Visi trīs rada atvienošanos, un neviens no tiem nesniedz to pašu žurnāla rindu.

Tikai pirmais ir VPN jēdziens. Pārējie divi ir aizgūti no identitātes un tīkliem, un ar to tos bieži jauc.

Kā marķieris faktiski tiek izmantots atkārtoti

OpenVPN serveri var izsniegt autentifikācijas marķieri pēc pirmās pieteikšanās, tāpēc vadības kanāla atkārtotās sarunas vairs neprasa no lietotāja akreditācijas datus. Klients turpina uzrādīt šo marķieri, un serveris izlemj, cik ilgi tas paliek pieņemams. Kad marķiera dzīves laiks ir īsāks par atkārtoto sarunu intervālu, nākamās sarunas neizdodas, un klients ziņo par autentifikācijas kļūdu, nevis par noildzi. Tāpēc viens un tas pats profils strādā stundu un pēc tam neizdodas fiksētā punktā.

Atkārtoto sarunu intervāls ir atsevišķs iestatījums. Tā maiņa pārceļ to, kad marķieris tiek uzrādīts, nevis cik ilgi tas dzīvo.

Kā katrs beigušanās izskatās no klienta puses

Sesijas noildze parasti nāk kā tīra atvienošanās ar servera puses iemeslu, bieži pēc paredzama ilguma un bez jebkādas autentifikācijas kļūdas. Dīkstāves noildze izskatās kā klusums: tunelis pārstāj pārvadāt satiksmi, tad savienojuma uzturēšana padodas. Marķiera beigšanās nāk kā AUTH_FAILED sesijas vidū, kas vēl sekundi iepriekš darbojās.

Izlasiet rindu un tad paskatieties pulkstenī. Ilgums, kas atbilst iestatītai vērtībai, nav nejaušība.

Kāpēc saglabāta parole nepalīdz

Kešatmiņā saglabāta parole atbild uz paroles izaicinājumu. Tā nepagarina marķiera dzīves laiku un neapmierina otrā faktora vai ierīces stāvokļa pārbaudes izaicinājumu. Mēģinājumu biežuma palielināšana, savienojuma noildžu saīsināšana vai profila atkārtota importēšana neko nemaina tajā, cik ilgi identitātes sistēma pieņems akreditācijas datus.

Ilgtspējīgie labojumi ir pareizais dzīves laiks pareizajam objektam vai klienta plūsma, kas spēj izpildīt nepieciešamo izaicinājumu bez cilvēka.

Kas jādokumentē un jāpārbauda

Pierakstiet visas trīs vērtības: vārtejas sesijas un dīkstāves limitus, marķiera dzīves laiku un īsāko būtisko kartējuma noildzi ceļā. Pēc tam apzināti pārbaudiet katru beigšanos, saīsinot vienu vērtību, vērojot, ko klients ziņo, un to atjaunojot. Apstipriniet, kas lietotājam jādara katrā robežā, jo prasība katru stundu pieteikties no jauna ir lēmums, kas kādam bija jāpieņem apzināti.

Pārrāvums, kas nāk pilnīgi bez jebkāda autentifikācijas notikuma, pieder ceļam vai dīkstāves taimerim, un tas ir cits izmeklējums ar citiem pierādījumiem.