Għaliex Rikonnessjoni VPN Terġa' Titlob Kredenzjali
Password salvat u token li jista' jerġa' jintuża jiskadu skont skedi differenti. Aqra liema materjal talbet ir-rikonnessjoni qabel ma tbiddel xi ħaġa fuq il-klijent.
Minestra li ħadmet għal sigħat titlob password fil-mument li l-laptop jienbaħ, u xejn fil-konfigurazzjoni ma nbidel. Dak li nbidel huwa l-istat tal-kredenzjali li r-rikonnessjoni ppruvat terġa' tuża. Tliet tipi ta' materjal jirregolaw dan, u wieħed biss minnhom jgħix minn waqfa arbitrarja.
Aqra liema waħda talab il-klijent, għax it-tlieta jiskadu b'arloġġi differenti u jonqsu b'messaġġi differenti.
Tliet tipi ta' materjal li jista' jerġa' jintuża
Password fil-cache hija sigriet miżmum mill-klijent, u tibqa' valida sakemm il-kont ibiddilha. Token tas-sessjoni jinħareġ mis-server wara login b'suċċess, iġorr il-ħajja tiegħu stess u jista' jiġi revokat f'kull mument. Biljett tas-sessjoni TLS jew assoċjazzjoni tas-sigurtà IKE huwa stat tal-protokoll, irħis biex jerġa' jibda u kompletament indipendenti mill-password tiegħek. Kull wieħed jinħareġ minn komponent differenti, u kull wieħed jiskadi skont it-termini tiegħu.
L-ewwel jgħix minn restart, it-tieni normalment jgħix minn sospensjoni, u t-tielet jista' lanqas biss jgħix minn bidla fin-netwerk. Li tħallathom flimkien tagħti l-korrezzjoni żbaljata, bħal tirrisettja password li qatt ma ġiet miċħuda.
Il-prompt innifsu huwa d-dijanjożi. Tieqa tal-brawżer jew kodiċi tat-tieni fattur ifisser li s-server talab awtentikazzjoni interattiva, filwaqt li falliment sieket mingħajr prompt ifisser li l-klijent qatt ma wasal biżżejjed biex jiġi mistoqsi.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
It-tiġdid taċ-ċwievet mhux awtentikazzjoni mill-ġdid
Tiġdid taċ-ċwievet jissostitwixxi ċ-ċwievet filwaqt li jżomm l-identità awtentikata, u għalhekk jiġri bil-moħbi kultant fuq minestra sana. Awtentikazzjoni mill-ġdid terġa' tagħmel il-verifika tal-identità nnifisha, u dak huwa l-avveniment li jeħtieġ lilek. IKEv2 jissepara t-tnejn b'mod espliċitu, u s-sieħeb jista' jitlob awtentikazzjoni mill-ġdid sħiħa f'intervall stabbilit irrispettivament minn kemm seħħew tiġdid taċ-ċwievet bejniethom. Iż-żewġ avvenimenti jidhru identiċi minn barra sakemm taqra liema jismi l-log.
OpenVPN iġib ruħu bl-istess mod fil-vokabular tiegħu: intervall ta' negozjar mill-ġdid iġedded il-kanal tad-data, u token ta' awtentikazzjoni jista' jerġa' jingħata lill-klijent biex jiġi evitat login sħiħ fil-konnessjoni li jmiss. Dak it-token għandu ħajja, u s-server jiddeċiedi jekk jaċċettahx mill-ġdid.
Allura rikonnessjoni wara tmien sigħat tista' tonqos fejn rikonnessjoni wara tmien minuti rnexxiet, mingħajr ebda bidla fil-konfigurazzjoni fuq ebda naħa. Din hija l-ispjegazzjoni kollha għal prompt li jidher biss wara l-ikel.
Meta l-klijent ma jistax itemm l-isfida l-ġdida
Politika li titlob pass fil-brawżer se tonqos fuq klijent li m'għandux mod kif jurih. Servers bla ras, scripts tal-bidu u profili qodma mibnija għal awtentikazzjoni b'password biss kollha jaħbtu ma' dak il-ħajt, u l-falliment spiss jidher bħala timeout ġeneriku u mhux bħala żball ta' awtentikazzjoni.
It-transizzjonijiet tal-apparat u tan-netwerk jistgħu wkoll jaqgħu fi ħdan tieqa ta' evalwazzjoni tal-politika, allura roaming minn Wi-Fi għal hotspot jikkoinċidi ma' verifika li kienet issir xorta waħda. Il-koinċidenza tagħmel in-netwerk jidher ħati meta l-kawża hija t-timer.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
L-ewwel linja turi avvenimenti ta' negozjar mill-ġdid u awtentikazzjoni fil-log tal-klijent stess, u t-tieni turi l-assoċjazzjonijiet tas-sigurtà li sieħeb strongSwan qed iżomm bħalissa. Qabbel it-timbri tal-ħin mal-mument li deher il-prompt; qbil jikkonferma t-timer u mhux in-netwerk.
X'għandu jiġi rrappurtat, u x'ma għandux jintefa
Jekk login manwali jirnexxi u l-użu mill-ġdid awtomatiku jonqos b'mod konsistenti, għid dan eżattament lill-operatur. Dan isemmi l-komponent: il-passaġġ tal-użu mill-ġdid, mhux il-kredenzjali. Inkludi l-ħin tal-falliment, il-kont użat u t-tip ta' prompt li rajt.
Tiddiżattivax it-tieni fattur, taqbiżx il-validazzjoni taċ-ċertifikat u twaħħalx kredenzjali fi script biex ir-rikonnessjoni ssir siekta. Kull waħda minn dawn tneħħi l-verifika li l-politika teżisti biex tinforza, u kull waħda tibdel prompt tal-login f'inċident.
Itlob minflok il-fluss appoġġjat: klijent li jista' jlesti l-isfida, ħajja tat-token li taqbel mal-jum tax-xogħol, jew profil mhux interattiv approvat għall-magna li ma tistax titlob. Dawn kollha huma deċiżjonijiet ta' konfigurazzjoni li xi ħadd jista' japprova, li mhix soluzzjoni temporanja.