VPN дахин холбогдоход бүртгэлийн мэдээллийг дахин шаарддаг шалтгаан
Хадгалсан нууц үг болон дахин ашиглах боломжтой токен өөр өөр хуваарийн дагуу хүчингүй болдог. Клиент дээр ямар нэгэн зүйл өөрчлөхөөс өмнө дахин холболт ямар материал шаардсаныг уншина уу.
Цаг өнжиж ажилласан туннель зөөврийн компьютер сэрэх мөчид нууц үг шаарддаг бөгөөд тохиргоонд юу ч өөрчлөгдөөгүй. Өөрчлөгдсөн зүйл бол дахин холболтын дахин ашиглахыг оролдсон бүртгэлийн мэдээллийн төлөв юм. Үүнийг гурван төрлийн материал удирддаг бөгөөд тэдгээрийн зөвхөн нэг нь дурын завсарлагыг даван туулдаг.
Клиент аль нэгийг шаардсаныг уншина уу, учир нь гурвуулаа өөр өөр цагаар хүчингүй болж, өөр өөр мессежээр бүтэлгүйтдэг.
Дахин ашиглах боломжтой гурван төрлийн материал
Кэш дэх нууц үг нь клиентийн хадгалдаг нууц бөгөөд бүртгэл үүнийг өөрчлөх хүртэл хүчинтэй. Сессийн токеныг сервер амжилттай нэвтрэлтийн дараа олгодог, өөрийн гэсэн амьдрах хугацаатай бөгөөд хэдийд ч цуцалж болно. TLS сессийн тасалбар эсвэл IKE аюулгүй байдлын холбоо нь протоколын төлөв бөгөөд үргэлжлүүлэхэд хямд, таны нууц үгээс бүрэн хамааралгүй. Тус бүрийг өөр бүрэлдэхүүн олгодог бөгөөд тус бүр өөрийн нөхцлөөр хүчингүй болдог.
Эхнийх нь дахин ачааллыг даван туулдаг, хоёр дахь нь ихэвчлэн унтахыг даван туулдаг, гурав дахь нь сүлжээний өөрчлөлтийг огт даван тулж чадахгүй байж болно. Тэдгээрийг андуурах нь буруу шийдэл гаргадаг, жишээ нь хэзээ ч татгалзагдаагүй нууц үгийг шинэчлэх.
Өөрөө сануулга нь онош юм. Хөтчийн цонх эсвэл хоёр дахь хүчин зүйлийн код нь сервер интерактив баталгаажуулалт шаардсаныг илэрхийлдэг бол сануулгагүй чимээгүй бүтэлгүйтэл нь клиент асуух хэмжээнд хүрээгүйг илэрхийлдэг.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Түлхүүр шинэчлэх нь дахин баталгаажуулалт биш
Түлхүүр шинэчлэх нь баталгаажсан хувь хүнийг хадгалан түлхүүрүүдийг сольдог тул эрүүл туннель дээр хааяа чимээгүй явагддаг. Дахин баталгаажуулалт нь хувь хүний шалгалтыг өөрөө давтдаг бөгөөд таны оролцоо шаардлагатай үйл явдал энэ юм. IKEv2 хоёрыг тодорхой ялгадаг бөгөөд түнш хооронд хэдэн түлхүүр шинэчлэл болсноос үл хамааран тогтоосон интервалд бүрэн дахин баталгаажуулалт шаардаж болно. Энэ хоёр үйл явдал логийн аль нэгийг нэрлэснийг унших хүртэл гаднаас ижил харагдана.
OpenVPN өөрийн нэр томьёонд мөн адил ажилладаг: дахин хэлэлцээрийн интервал өгөгдлийн сувгийг сэргээдэг, дараагийн холболтод бүрэн нэвтрэлтээс зайлсхийхийн тулд баталгаажуулалтын токеныг клиентэд буцааж өгч болно. Тэр токен амьдрах хугацаатай бөгөөд дахин хүлээж авах эсэхийг сервер шийддэг.
Тиймээс найман цагийн дараах дахин холболт найман минутын дараах дахин холболт амжилттай болсон газарт бүтэлгүйтэж болно, хоёр талд тохиргооны өөрчлөлтгүйгээр. Үдээс хойш л гарч ирдэг сануулгын бүрэн тайлбар энэ юм.
Клиент шинэ сорилтыг гүйцэтгэж чадахгүй үед
Хөтчийн алхам шаардсан бодлого үүнийг харуулах аргагүй клиент дээр бүтэлгүйтнэ. Толгойгүй сервер, эхлүүлэх скрипт, зөвхөн нууц үгээр баталгаажуулалтад зориулсан хуучин профайлууд бүгд тэр хананд мөргөлдөж, бүтэлгүйтэл нь ихэвчлэн баталгаажуулалтын алдаа биш ерөнхий хугацаа дуусах хэлбэрээр харагддаг.
Төхөөрөмж болон сүлжээний шилжилтүүд бодлогын үнэлгээний цонхонд орж болох тул Wi-Fi-аас хот спот руу шилжих нь ямар ч байсан болох шалгалттай давхцдаг. Энэ давхцал нь шалтгаан нь таймер байхад сүлжээг буруутгасан мэт харагдуулдаг.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Эхний мөр клиентийн өөрийн лог дахь дахин хэлэлцээр болон баталгаажуулалтын үйл явдлыг харуулдаг, хоёр дахь нь strongSwan түншийн одоо эзэмшиж буй аюулгүй байдлын холбоог харуулдаг. Цагийн тэмдэглэгээг сануулга гарч ирсэн мөчтэй харьцуулна уу; давхцал нь сүлжээ биш таймерыг баталж байна.
Юу мэдээлэх, юуг унтраахгүй байх
Гараар нэвтрэх нь амжилттай болж, автомат дахин ашиглалт байнга бүтэлгүйтдэг бол операторт яг үүнийг хэлээрэй. Энэ нь бүрэлдэхүүнийг нэрлэдэг: дахин ашиглалтын зам, бүртгэлийн мэдээлэл биш. Бүтэлгүйтлийн цаг, ашиглаж буй бүртгэл, харсан сануулгын төрлийг оруулна уу.
Дахин холболтыг чимээгүй болгохын тулд хоёр дахь хүчин зүйлийг унтрааж болохгүй, гэрчилгээний баталгаажуулалтыг алгасаж болохгүй, бүртгэлийн мэдээллийг скриптэд нааж болохгүй. Эдгээрийн аль нь ч бодлого хэрэгжүүлэхээр байгаа шалгалтыг арилгадаг бөгөөд аль нь ч нэвтрэх сануулгыг осол болгоно.
Оронд нь дэмжигдсэн урсгалыг хүсээрэй: сорилтыг биелүүлж чадах клиент, ажлын өдөрт тохирох токены хугацаа, эсвэл асууж чадахгүй машинд зориулсан батлагдсан интерактив бус профайл. Эдгээр нь хэн нэгэн баталж болох тохиргооны шийдвэрүүд бөгөөд тойрч гарах арга зам нь тийм биш.