It-timer tas-sessjoni VPN u t-token tal-awtentikazzjoni jiskadu b'mod separat

Qtugħ tal-VPN jista' jiġri għal raġunijiet li mill-klijent jidhru identiċi u taħt il-wiċċ m'għandhom xejn komuni: is-sessjoni tat-tunnel spiċċat, timer ta' inattività tħaddem, jew kredenzjali li l-klijent kien qed juża mill-ġdid saret skaduta. Kull waħda għandha proprjetarju differenti u soluzzjoni differenti. Huwa s-sekwenza tal-iżbalji fil-mument tal-qtugħ li tifridhom, u ġeneralment hija linja waħda.

Tliet arloġġi jimxu kontra tunnel wieħed, u wieħed biss minnhom huwa t-tunnel.

Tliet arloġġi differenti fuq tunnel wieħed

L-arloġġ tas-sessjoni huwa tal-gateway: tul massimu tal-konnessjoni, limitu ta' żmien ta' inattività jew it-tnejn, u jtemm it-tunnel meta jintlaħaq wieħed minnhom. L-arloġġ tat-token huwa tas-sistema tal-awtentikazzjoni, u jiddetermina kemm idum kredenzjali jista' jerġa' jiġi ppreżentat mingħajr bniedem. L-arloġġ tal-passaġġ huwa ta' kwalunkwe NAT jew firewall bejn il-klijent u l-gateway, u jħalli l-mappings jiskadu għal flussi li jqis mitmuma. It-tlieta jipproduċu qtugħ, u ebda wieħed ma jagħti l-istess linja tal-log.

L-ewwel waħda biss hija kunċett tal-VPN. It-tnejn l-oħra huma mislufa mill-identità u n-netwerks, u spiss jiġu konfużi magħha.

Kif it-token fil-fatt jerġa' jintuża

Is-servers OpenVPN jistgħu joħorġu token tal-awtentikazzjoni wara l-ewwel dħul, sabiex negozjazzjoni mill-ġdid tal-kanal tal-kontroll ma titlobx kredenzjali mill-utent mill-ġdid. Il-klijent ikompli jippreżenta dak it-token u s-server jiddeċiedi kemm idum aċċettabbli. Meta l-ħajja tat-token tkun iqsar mill-intervall tan-negozjazzjoni mill-ġdid, in-negozjazzjoni li jmiss tfalli u l-klijent jirrapporta żball tal-awtentikazzjoni minflok limitu ta' żmien. Huwa għalhekk li l-istess profil jaħdem għal siegħa u mbagħad ifalli f'punt fiss.

L-intervall tan-negozjazzjoni mill-ġdid huwa setting separat. Li tibdlu jċaqlaq meta jiġi ppreżentat it-token, mhux kemm idum jgħix.

Kif jidher kull skadenza mill-klijent

Limitu ta' żmien tas-sessjoni ġeneralment jiġi bħala qtugħ nadif b'raġuni min-naħa tas-server, spiss wara tul prevedibbli u mingħajr ebda żball tal-awtentikazzjoni. Limitu ta' żmien ta' inattività jidher bħas-skiet: it-tunnel jieqaf iġorr traffiku, imbagħad il-keepalive jagħti lura. Skadenza tat-token tiġi bħala AUTH_FAILED f'nofs sessjoni li kienet qed taħdem sekonda qabel.

Aqra l-linja, imbagħad ħares lejn l-arloġġ. Tul li jaqbel ma' valur konfigurat mhuwiex koinċidenza.

Għaliex password salvata ma tgħinx

Password fil-cache twieġeb sfida għal password. Ma testendix il-ħajja ta' token u ma tissodisfax sfida għal fattur ieħor jew verifika tal-istat tal-apparat. Iż-żieda fil-frekwenza tal-provi, it-tqassir tal-limiti ta' żmien tal-konnessjoni jew l-importazzjoni mill-ġdid tal-profil ma jbiddlu xejn dwar kemm idum is-sistema tal-identità taċċetta l-kredenzjali.

Is-soluzzjonijiet dejjiema huma l-ħajja t-tajba fuq l-oġġett it-tajjeb, jew fluss tal-klijent li jista' jlesti s-sfida meħtieġa mingħajr bniedem.

X'għandu jiġi ddokumentat u ttestjat

Ikteb it-tliet valuri kollha: il-limiti tas-sessjoni u tal-inattività tal-gateway, il-ħajja tat-token u l-iqsar limitu ta' żmien tal-mapping rilevanti fuq il-passaġġ. Imbagħad iġġenera kull skadenza bl-intenzjoni billi tqassar valur wieħed, tosserva x'jirrapporta l-klijent, u terġa' tistabbilixxih. Ikkonferma x'għandu jagħmel l-utent f'kull konfini, għax li titlob dħul sħiħ kull siegħa hija deċiżjoni ta' politika li xi ħadd kellu jieħu bl-intenzjoni.

Qtugħ li jiġi mingħajr ebda avveniment tal-awtentikazzjoni jappartjeni għall-passaġġ jew għat-timer tal-inattività, u dik hija investigazzjoni differenti b'evidenza differenti.