Mengapa Sambungan Semula VPN Meminta Bukti Kelayakan Semula

Terowong yang berfungsi berjam-jam meminta kata laluan pada saat komputer riba bangun, dan tiada apa pun dalam konfigurasi berubah. Yang berubah ialah keadaan bukti kelayakan yang cuba digunakan semula oleh sambungan semula. Tiga jenis bahan mengawalnya, dan hanya satu daripadanya bertahan melepasi selang sebarang.

Baca yang mana diminta oleh klien, kerana ketiganya tamat tempoh mengikut jam berbeza dan gagal dengan mesej berbeza.

Tiga jenis bahan boleh guna semula

Kata laluan cache ialah rahsia yang dipegang klien, dan ia kekal sah sehingga akaun mengubahnya. Token sesi dikeluarkan oleh pelayan selepas log masuk berjaya, membawa jangka hayatnya sendiri dan boleh dibatalkan pada bila-bila masa. Tiket sesi TLS atau persatuan keselamatan IKE ialah keadaan protokol, murah untuk disambung semula dan sepenuhnya bebas daripada kata laluan anda. Setiap satu dikeluarkan oleh komponen berbeza, dan setiap satu tamat tempoh mengikut syaratnya sendiri.

Yang pertama bertahan selepas but semula, yang kedua biasanya bertahan selepas mod sedia, dan yang ketiga mungkin tidak bertahan langsung apabila rangkaian berubah. Mengelirukannya menghasilkan pembetulan yang salah, seperti menetapkan semula kata laluan yang tidak pernah ditolak.

Gesaan itu sendiri ialah diagnosis. Tetingkap pelayar atau kod faktor kedua bermaksud pelayan menuntut pengesahan interaktif, manakala kegagalan senyap tanpa gesaan bermaksud klien tidak pernah cukup jauh untuk ditanya.

Pembaharuan kunci bukan pengesahan semula

Pembaharuan kunci menggantikan kunci sambil mengekalkan identiti yang disahkan, sebab itu ia berlaku secara senyap sekali-sekala pada terowong yang sihat. Pengesahan semula mengulangi pemeriksaan identiti itu sendiri, dan itulah peristiwa yang memerlukan anda. IKEv2 memisahkan kedua-duanya secara jelas, dan rakan sebaya boleh menuntut pengesahan semula penuh pada selang yang ditetapkan tanpa mengira berapa banyak pembaharuan kunci berlaku di antaranya. Kedua-dua peristiwa kelihatan sama dari luar sehingga anda membaca yang mana disebut oleh log.

OpenVPN berkelakuan sama dalam kosa katanya sendiri: selang rundingan semula menyegarkan saluran data, dan token pengesahan boleh dipulangkan kepada klien untuk mengelakkan log masuk penuh pada sambungan seterusnya. Token itu mempunyai jangka hayat, dan pelayan menentukan sama ada untuk menerimanya semula.

Jadi sambungan semula selepas lapan jam boleh gagal di tempat sambungan semula selepas lapan minit berjaya, tanpa sebarang perubahan konfigurasi pada mana-mana pihak. Itulah keseluruhan penjelasan bagi gesaan yang muncul hanya selepas makan tengah hari.

Apabila klien tidak dapat menyelesaikan cabaran baharu

Dasar yang memerlukan langkah pelayar akan gagal pada klien yang tiada cara untuk menunjukkannya. Pelayan tanpa kepala, skrip permulaan dan profil lama yang dibina untuk pengesahan kata laluan sahaja semuanya merempuh dinding itu, dan kegagalan sering muncul sebagai tamat masa umum dan bukan ralat pengesahan.

Peralihan peranti dan rangkaian juga boleh jatuh dalam tetingkap penilaian dasar, jadi perantauan dari Wi-Fi ke tempat panas bertepatan dengan pemeriksaan yang akan berlaku juga. Kebetulan itu membuatkan rangkaian kelihatan bersalah sedangkan puncanya pemasa.

openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth"
ipsec statusall | grep -i -E "rekey|reauth"

Baris pertama menunjukkan peristiwa rundingan semula dan pengesahan dalam log klien sendiri, dan baris kedua menunjukkan persatuan keselamatan yang dipegang oleh rakan sebaya strongSwan sekarang. Bandingkan cap masa dengan saat gesaan muncul; padanan mengesahkan pemasa dan bukan rangkaian.

Apa yang perlu dilaporkan, dan apa yang tidak boleh dimatikan

Jika log masuk manual berjaya dan penggunaan semula automatik sentiasa gagal, beritahu perkara itu dengan tepat kepada pengendali. Ia menamakan komponen: laluan penggunaan semula, bukan bukti kelayakan. Sertakan masa kegagalan, akaun yang digunakan dan jenis gesaan yang anda lihat.

Jangan lumpuhkan faktor kedua, langkau pengesahan sijil atau tampal bukti kelayakan ke dalam skrip untuk menjadikan sambungan semula senyap. Setiap satu daripada itu menghapuskan pemeriksaan yang dasar itu wujud untuk menguatkuasakan, dan setiap satu mengubah gesaan log masuk menjadi insiden.

Mintalah aliran yang disokong sebaliknya: klien yang boleh menyelesaikan cabaran, jangka hayat token yang sepadan dengan hari bekerja, atau profil tidak interaktif yang diluluskan untuk mesin yang tidak boleh bertanya. Semua itu keputusan konfigurasi yang boleh diluluskan oleh seseorang, yang bukan jalan pintas.