VPN-ийн давтан оролдлогын циклээс аккаунт түгжигдлээ: эхлээд клиентийг зогсоо

02:40-д аккаунт түгжигдэж, гарын самбарын дэргэд хүн байхгүй. Тавиур дээрх клиент өнгөрсөн сард хадгалсан нууц үгээ үргэлжлүүлэн танилцуулж, гарц түүнийг үргэлжлүүлэн татгалзаж, түгжээний цаанаах тоолуур хүний оролцоогүйгээр өсөж байна. Энэ нь халдлага биш, давтан оролдлогын цикл бөгөөд аккаунтыг сэргээхээс өмнө үүнийг зогсоох ёстой.

Үүнийг тогтсон дараалалтай хоёр асуудал гэж үзээрэй. Эхлээд илгээгчийг зогсоож, дараа нь нэвтрэх боломжийг сэргээгээрэй, учир нь эсрэг дараалал нь циклийг хэдхэн минутын дотор дахин эхлүүлнэ.

Аль процесс алдаануудыг илгээж байгааг тодорхойл

Идентификацийн системийн цагийн тэмдэглэгээнээс эхэлж, тэдгээрийг аккаунттай бүх клиенттэй харьцуул. Удирдлагатай профайл, хяналтгүй үйлчилгээ, шургуулга дахь утас, хуучин итгэмжлэлтэй нөөц зөөврийн компьютер — бүгд нэг хүнээр нэвтрэх боломжтой. Хэдхэн секунд тутамд амжилтгүй болдог нь цикл, өдөрт нэг удаа амжилтгүй болдог нь ихэвчлэн мартсан хүн юм. Хоёулаа ижил тоолуурыг тэжээдэг, энд л урхи байна.

Харж байхдаа татгалзал болон хүрэх боломжгүй гарцыг ялга. Хугацаа дуусах, нэр шийдвэрлэх алдаа эсвэл хаалттай порт ихэвчлэн алдааны тоолуурыг нэмдэггүй, харин муу итгэмжлэлийн үр дүн буцаадаг дууссан нэвтрүүлэлтийн солилцоо түүнийг нэмдэг. Хоёуланг хольсон нь буруу засвар өгдөг, учир нь нэг нь клиентийг зогсоохыг, нөгөө нь замыг засахыг шаарддаг.

Хариуг тодорхойлох гурван нөхцөл

Гурван баримт үүнийг нэг хариулт руу нарийсгана. Нэгд, бүртгэл тодорхой татгалзал эсвэл дамжуулалтын алдаа харуулж байгаа эсэх. Хоёрт, идентификаци төхөөрөмж эсвэл үйлчилгээний хооронд хуваалцсан эсэх. Гуравт, давтан оролдож буй клиент таны удирддаг эсвэл өөр хэн нэгний хянадаг эсэх.

Таны хянадаг ганц клиентээс тодорхой татгалзал гэдэг нь тэр клиентийг зогсоож, батлагдсан замаар түгжээг тайлж, нэг зориудын нэвтрэлт хий гэсэн үг. Хуваалцсан идентификаци хариултыг тайлахаас илүүтэйгээр хангах руу түлхдэг, учир нь нөгөө төхөөрөмж дахин холбогдох тэр мөчид цикл үргэлжилнэ. Дамжуулалтын алдаанууд сүлжээний түвшинг заана, тэнд аккаунтын хамгаалалт огт асуудал биш.

Эдгээр салбаруудын аль нь ч хамгаалалтыг сулруулахыг агуулаагүй. Түгжээний босго болон хурдны хязгаар нь тасалдлын үеэр таныг цочроодог тэр дохио нууц үг таамаглах оролдлогыг удаашруулдаг дохио учраас байдаг.

Түгжээг тайлахаас өмнө илгээгчийг зогсоо

Нэвтрэлтийг үргэлжлүүлж буй нэгж эсвэл холболтыг зогсоож, дахин ачаалалтад тэсвэрлэх байдлаар зогсоо. Клиентийн үйлчилгээ ачаалах үед автоматаар эхлэхээр тохируулагдсан бол түүнийг түр зогсоох нь хангалтгүй.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Хэдэн минут хүлээж, алдааны тоолуур хөдөлгөөнөө зогсоосныг батал. Тэр завсарлага зөв эх сурвалжийг олсны баталгаа. Хэрэв алдаанууд үргэлжилбэл цикл өөр газраас ирж байгаа бөгөөд түгжээ тайлах алхам дэмий болох байсан.

Зөвхөн тэгээд операторын баримтжуулсан түгжээ тайлах эсвэл сэргээх процессыг ашиглаж, үлдээхээр төлөвлөж буй төхөөрөмжөөс яг нэг хяналттай нэвтрэлтээр гүйцэтгэ. Яг босго, хөргөх хугацаа болон сэргээх томьёолол нь үйлчилгээнээс хамаардаг тул тоо таамаглахын оронд тэдгээрийг уншина уу.

Шалтгааныг арилга, дахин ирэхгүйн тулд

Хадгалсан итгэмжлэлийг эзэмшиж буй газарт нь шинэчил: үйлдлийн системийн түлхүүрийн багцад, клиентийн профайлд эсвэл үйлчилгээний аккаунтын тохиргоонд. Нэг газраас устгаад нөгөөд нь хуулбар үлдээх нь цикл долоо хоногийн дараа буцаж ирэх зам бөгөөд ихэвчлэн сүлжээнээс гадуур байсан зөөврийн компьютер буцаж ирээд кэшлэсэн утгаа дахин тоглуулах үед тохиолддог.

Автоматжуулалтад өөрийн идентификацийг өг. Өөрийн итгэмжлэл, өөрийн хязгаартайгаар тусдаа хангагдсан аккаунт нь машины гэмтэл хүнийг имэйлээс түгжихээс сэргийлж, гэмтлийг бүртгэлд хамааруулах боломжтой болгоно. Клиентэд ухралт нэм ингэснээр татгалзсан итгэмжлэл давталтын оронд оролдлогыг зогсоох бөгөөд давтагдсан нэвтрэлтийн алдаанд сигнал тавьж, дараагийн цикл 02:40-д биш хэдэн минутын дотор анзаарагдах болно.

Тайлан дэмжлэг рүү явах үед аккаунтын танигч, цагийн тэмдэглэгээ болон клиентийн нэрийг хадгал. Нууц үг болон сэргээх материал хэзээ ч тэр бүртгэлд хамаарахгүй.