Заклучени од циклус на повторување на VPN: прво запрете го клиентот

Во 02:40 сметката се заклучува и никој не е пред тастатурата. Клиент на полица продолжува да ја претставува лозинката што ја зачувал минатиот месец, портата продолжува да ја одбива, а бројачот зад заклучувањето расте без човечко учество. Ова е циклус на повторување, а не напад, и мора да се запре пред сметката да може да се врати.

Третирајте го како два проблема во фиксен редослед. Прво запрете го испраќачот, потоа вратете го пристапот, бидејќи обратниот редослед го рестартира циклусот за неколку минути.

Утврдете кој процес ги испраќа грешките

Започнете од временските ознаки во системот за идентитет и споредете ги со секој клиент што ја држи сметката. Управуван профил, услуга без надзор, телефон во фиока и резервен преносен сметач со стари акредитиви — сите можат да се автентицираат како истото лице. Тој што не успева на секои неколку секунди е циклусот, а тој што не успева еднаш дневно е обично човек што заборавил. И двата го хранат истиот бројач, и тука е стапицата.

Додека гледате, разликувајте одбивање од недостапна порта. Истекот на време, неуспехот при разрешување на име или затворен порт обично не го зголемуваат бројачот на грешки, додека завршена размена на автентикација што враќа резултат за лоши акредитиви го зголемува. Мешањето на двете дава погрешно решение, бидејќи едното бара запирање на клиентот, а другото поправка на патеката.

Три услови што го одредуваат одговорот

Три факти го стеснуваат ова на еден одговор. Прво, дали записот покажува експлицитно одбивање или преносен дефект. Второ, дали идентитетот е заеднички за повеќе уреди или услуги. Трето, дали клиентот што повторува е оној што вие го управувате или оној што го контролира некој друг.

Експлицитно одбивање од еден клиент што го контролирате значи запрете го тој клиент, отклучете преку одобрената патека и направете една намерна најава. Заедничкиот идентитет го турка одговорот кон обезбедување, а не кон отклучување, бидејќи циклусот ќе продолжи во моментот кога другиот уред повторно ќе се поврзе. Преносните дефекти укажуваат на мрежниот слој, каде заштитата на сметката воопшто не е тема.

Ниту една од тие гранки не вклучува ослабување на заштитата. Праговите на заклучување и ограничувањата на брзина постојат затоа што истиот сигнал што ве нервира за време на прекин е сигналот што го забавува обидот за погодување лозинка.

Запрете го испраќачот пред да отклучите

Запрете ја единицата или врската што продолжува да се автентицира, и запрете ја така што тоа ќе го преживее рестартирањето. Паузирањето на клиентот не е доволно кога неговата услуга е поставена автоматски да стартува при подигање.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Почекајте неколку минути и потврдете дека бројачот на грешки престана да се движи. Таа пауза е доказот дека го најдовте вистинскиот извор. Ако грешките продолжат, циклусот доаѓа од друго место и чекорот на отклучување би бил залуден.

Дури тогаш користете го документираниот процес за отклучување или враќање на операторот и следете го со точно една контролирана најава од уредот што имате намера да го задржите. Точните прагови, периодите на ладење и формулацијата на враќањето се специфични за услугата, затоа прочитајте ги наместо да погодувате број.

Отстранете ја причината за да не се врати

Ажурирајте ги зачуваните акредитиви таму каде што се поседуваат: во привезокот со клучеви на оперативниот систем, во профилот на клиентот или во конфигурацијата на услужната сметка. Бришењето на едно место додека друго чува копија е начинот на кој циклусот се враќа по една недела, обично кога преносен сметач што бил офлајн се враќа и ја повторува својата кеширана вредност.

Дајте ѝ на автоматизацијата сопствен идентитет. Одделно обезбедена сметка со сопствени акредитиви и сопствени ограничувања спречува дефект на машината да заклучи човек надвор од е-поштата и го прави дефектот припишлив во дневниците. Додајте отстапување на клиентот за да можат одбиените акредитиви да ги запрат повторувањата наместо да ги повторуваат, и поставете аларм за повторени неуспеси на автентикација за следниот циклус да се забележи за неколку минути, а не во 02:40.

Кога извештајот оди до поддршката, задржете го идентификаторот на сметката, временските ознаки и името на клиентот. Лозинките и материјалот за враќање никогаш не припаѓаат во тој запис.