Тајмерот на VPN сесијата и токенот за автентикација истекуваат одделно

Прекин на VPN може да се случи поради причини што од страна на клиентот изгледаат исто, а под површината немаат ништо заедничко: сесијата на тунелот заврши, се активираше тајмер за неактивност или застареа акредитивите што клиентот повторно ги користеше. Секоја има различен сопственик и различно решение. Токму редоследот на грешки во моментот на прекинот е тоа што ги раздвојува, и обично е една линија.

Три часовници работат против еден тунел, и само еден од нив е самиот тунел.

Три различни часовници на еден тунел

Часовникот на сесијата ѝ припаѓа на портата: максимално времетраење на врската, тајмаут за неактивност или и двете, и тој го завршува тунелот кога ќе се достигне кое и да е од нив. Часовникот на токенот му припаѓа на системот за автентикација и одлучува колку долго акредитивот може повторно да се претстави без човек. Часовникот на патеката му припаѓа на кој и да е NAT или огнен ѕид меѓу клиентот и портата, и тој дозволува мапирањата на тековите што ги смета за завршени да истечат. Сите три создаваат прекин, и ниеден не ја дава истата линија во дневникот.

Само првиот е концепт на VPN. Другите два се позајмени од идентитетот и мрежите, и рутински се мешаат со него.

Како токенот всушност се користи повторно

OpenVPN серверите можат да издадат токен за автентикација по првобитното најавување, така што повторното преговарање на контролният канал повеќе не бара акредитиви од корисникот. Клиентот продолжува да го претставува тој токен, а серверот одлучува колку долго тој останува прифатлив. Кога животниот век на токенот е пократок од интервалот на повторно преговарање, следното преговарање не успева, и клиентот пријавува грешка при автентикација наместо тајмаут. Затоа истиот профил работи еден час, а потоа не успева во фиксна точка.

Интервалот на повторно преговарање е одделно поставување. Неговата промена го поместува моментот кога токенот се претставува, а не колку долго живее.

Како изгледа секое истекување од страна на клиентот

Тајмаутот на сесијата обично доаѓа како чисто прекинување со причина од страната на серверот, често по предвидливо времетраење и без грешка при автентикација. Тајмаутот за неактивност изгледа како тишина: тунелот престанува да носи сообраќај, потоа одржувањето на врската се откажува. Истекувањето на токенот доаѓа како AUTH_FAILED во средина на сесија што работеше една секунда претходно.

Прочитајте ја линијата, потоа погледнете го часовникот. Времетраење што се совпаѓа со поставена вредност не е случајност.

Зошто зачуваната лозинка не помага

Лозинката во кешот одговара на предизвик за лозинка. Таа не го продолжува животот на токенот и не задоволува предизвик за втор фактор или проверка на состојбата на уредот. Зголемувањето на зачестеноста на обидите, скратувањето на тајмаутите на врската или повторното увезување на профилот ништо не менува во тоа колку долго системот за идентитет ќе ги прифаќа акредитивите.

Трајните исправки се вистинскиот животен век на вистинскиот објект, или клиентски тек што може да го заврши потребниот предизвик без човек.

Што да се документира и тестира

Запишете ги сите три вредности: ограничувањата за сесија и неактивност на портата, животниот век на токенот и најкраткиот релевантен тајмаут на мапирање на патеката. Потоа намерно тестирајте го секое истекување со скратување на една вредност, набљудувајќи што пријавува клиентот и враќајќи ја. Потврдете што корисникот мора да направи на секоја граница, бидејќи барањето целосно најавување секој час е одлука за политика што некој требало свесно да ја донесе.

Прекин што доаѓа без никаков настан за автентикација воопшто ѝ припаѓа на патеката или на тајмерот за неактивност, а тоа е друго истражување со други докази.