Terkunci kerana gelung cubaan semula VPN: hentikan klien dahulu

Pada 02:40 akaun dikunci dan tiada sesiapa di papan kekunci. Sebuah klien di rak terus mengemukakan kata laluan yang disimpannya bulan lalu, get laluan terus menolaknya, dan pembilang di sebalik kunci itu naik tanpa penglibatan manusia. Ini gelung cubaan semula, bukan serangan, dan ia mesti dihentikan sebelum akaun boleh dipulihkan.

Anggap ini sebagai dua masalah dalam urutan tetap. Hentikan penghantar dahulu, kemudian pulihkan akses, kerana urutan sebaliknya memulakan semula gelung dalam beberapa minit.

Kenal pasti proses mana yang menghantar kegagalan

Mulakan daripada cap masa dalam sistem identiti dan bandingkannya dengan setiap klien yang memegang akaun. Profil terurus, perkhidmatan tanpa pengawasan, telefon di dalam laci dan komputer riba sandaran dengan kelayakan lama semuanya boleh mengesahkan diri sebagai orang yang sama. Yang gagal setiap beberapa saat ialah gelung, dan yang gagal sekali sehari biasanya manusia yang terlupa. Kedua-duanya memberi makan pembilang yang sama, dan di situlah perangkapnya.

Bezakan penolakan daripada get laluan yang tidak dapat dicapai semasa anda memeriksa. Tamat masa, kegagalan penyelesaian nama atau port tertutup biasanya tidak menaikkan pembilang kegagalan, manakala pertukaran pengesahan yang selesai dan mengembalikan hasil kelayakan buruk menaikkannya. Mencampurkan kedua-duanya menghasilkan pembaikan yang salah, kerana satu memerlukan klien dihentikan dan satu lagi memerlukan laluan dibaiki.

Tiga keadaan yang menentukan tindak balas

Tiga fakta menyempitkan ini kepada satu jawapan. Pertama, sama ada rekod menunjukkan penolakan jelas atau kegagalan pengangkutan. Kedua, sama ada identiti dikongsi merentas peranti atau perkhidmatan. Ketiga, sama ada klien yang mencuba semula ialah yang anda uruskan atau yang dikawal orang lain.

Penolakan jelas daripada satu klien yang anda kawal bermaksud hentikan klien itu, buka kunci melalui laluan yang diluluskan dan lakukan satu log masuk yang disengajakan. Identiti yang dikongsi menolak jawapan ke arah peruntukan dan bukan pembukaan kunci, kerana gelung akan bermula semula pada saat peranti lain bersambung semula. Kegagalan pengangkutan menunjuk ke lapisan rangkaian, di mana perlindungan akaun sama sekali bukan isunya.

Tiada satu pun cabang itu melibatkan pelemahan perlindungan. Ambang kunci dan had kadar wujud kerana isyarat yang sama yang mengganggu anda semasa gangguan ialah isyarat yang memperlahankan cubaan meneka kata laluan.

Hentikan penghantar sebelum membuka kunci

Hentikan unit atau sambungan yang terus mengesahkan, dan hentikannya dengan cara yang bertahan selepas but semula. Menjeda klien tidak mencukupi apabila perkhidmatannya ditetapkan untuk bermula secara automatik semasa but.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Tunggu beberapa minit dan sahkan bahawa pembilang kegagalan berhenti bergerak. Jeda itu ialah bukti bahawa anda menemui sumber yang betul. Jika kegagalan berterusan, gelung datang dari tempat lain dan langkah membuka kunci akan sia-sia.

Hanya selepas itu gunakan proses membuka kunci atau pemulihan yang didokumenkan oleh pengendali, dan ikutinya dengan tepat satu log masuk terkawal daripada peranti yang anda mahu kekalkan. Ambang tepat, tempoh penyejukan dan perkataan pemulihan adalah khusus perkhidmatan, jadi bacalah ia daripada meneka nombor.

Hapuskan puncanya supaya ia tidak kembali

Kemas kini kelayakan tersimpan di tempat ia dimiliki: dalam gegelang kunci sistem pengendalian, dalam profil klien atau dalam konfigurasi akaun perkhidmatan. Memadamkannya di satu tempat sementara tempat lain menyimpan salinan ialah cara gelung kembali seminggu kemudian, biasanya apabila komputer riba yang berada di luar talian kembali dan memainkan semula nilai cachenya.

Beri automasi identiti sendiri. Akaun yang diperuntukkan secara berasingan dengan kelayakan dan hadnya sendiri menghalang kegagalan mesin daripada mengunci seseorang keluar daripada e-mel, dan menjadikan kegagalan itu boleh diatribusikan dalam log. Tambahkan pengunduran pada klien supaya kelayakan yang ditolak menghentikan cubaan semula dan bukan mengulanginya, dan pasang penggera pada kegagalan pengesahan berulang supaya gelung seterusnya disedari dalam beberapa minit dan bukan pada 02:40.

Apabila laporan pergi ke sokongan, simpan pengecam akaun, cap masa dan nama klien. Kata laluan dan bahan pemulihan tidak pernah termasuk dalam rekod itu.