Stengt ute av en VPN-forsøksløkke: stopp klienten først

Klokken 02:40 låses kontoen, og det er ingen ved tastaturet. En klient på en hylle fortsetter å presentere passordet den lagret i forrige måned, gatewayen fortsetter å avvise det, og telleren bak utelåsingen stiger uten at et menneske er involvert. Dette er en forsøksløkke og ikke et angrep, og den må stoppes før kontoen kan gjenopprettes.

Behandle det som to problemer i en fast rekkefølge. Stopp avsenderen først, og gjenopprett deretter tilgangen, for den motsatte rekkefølgen starter løkken på nytt i løpet av noen minutter.

Finn ut hvilken prosess som sender feilene

Start med tidsstemplene i identitetssystemet og sammenlign dem med hver klient som har kontoen. En administrert profil, en tjeneste uten tilsyn, en telefon i en skuff og en ekstra bærbar PC med gamle legitimasjoner kan alle autentisere som den samme personen. Den som feiler hvert par sekunder er løkken, og den som feiler én gang om dagen er vanligvis et menneske som har glemt det. Begge mater den samme telleren, og det er fellen.

Skill mellom en avvisning og en utilgjengelig gateway mens du ser. En tidsavbrudd, en navneoppløsningsfeil eller en lukket port øker normalt ikke en feilteller, mens en fullført autentiseringsutveksling som returnerer et resultat om dårlig legitimasjon gjør det. Å blande de to gir feil løsning, fordi den ene krever klienten stoppet og den andre krever veien reparert.

Tre forhold som avgjør svaret

Tre fakta snevrer dette inn til ett svar. For det første om posten viser en eksplisitt avvisning eller en transportfeil. For det andre om identiteten deles på tvers av enheter eller tjenester. For det tredje om klienten som prøver på nytt er en du administrerer eller en noen andre kontrollerer.

En eksplisitt avvisning fra én enkelt klient du kontrollerer betyr at du stopper den klienten, låser opp via den godkjente veien og gjør én bevisst innlogging. En delt identitet skyver svaret mot klargjøring i stedet for opplåsing, fordi løkken fortsetter i det øyeblikket den andre enheten kobler til igjen. Transportfeil peker på nettverkslaget, der kontobeskyttelse ikke er temaet i det hele tatt.

Ingen av disse grenene innebærer å svekke beskyttelsen. Utelåsingsterskler og hastighetsgrenser finnes fordi det samme signalet som irriterer deg under en driftsforstyrrelse er signalet som bremser et forsøk på å gjette et passord.

Stopp avsenderen før du låser opp

Stopp enheten eller tilkoblingen som fortsetter å autentisere, og stopp den på en måte som overlever en omstart. Å sette klienten på pause er ikke nok når tjenesten er satt til å starte automatisk ved oppstart.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Vent noen minutter og bekreft at feiltelleren slutter å bevege seg. Den pausen er beviset på at du fant riktig kilde. Hvis feilene fortsetter, kommer løkken fra et annet sted, og opplåsingstrinnet ville være bortkastet.

Først da skal du bruke operatørens dokumenterte opplåsings- eller gjenopprettingsprosess, og følge den med nøyaktig én kontrollert innlogging fra enheten du har tenkt å beholde. Nøyaktige terskler, nedkjølingsperioder og formuleringen av gjenopprettingen er tjenestespesifikke, så les dem i stedet for å gjette på et tall.

Fjern årsaken så den ikke kommer tilbake

Oppdater den lagrede legitimasjonen der den eies: i operativsystemets nøkkelring, i klientprofilen eller i konfigurasjonen for tjenestekontoen. Å slette den på ett sted mens et annet beholder en kopi er måten løkken kommer tilbake en uke senere, vanligvis når en bærbar PC som var frakoblet kommer tilbake og spiller av sin bufrede verdi.

Gi automatiseringen sin egen identitet. En separat klargjort konto med egen legitimasjon og egne grenser hindrer at en maskinfeil låser en person ute av e-post, og den gjør feilen sporbart i loggene. Legg til en tilbakeholdenhet i klienten slik at en avvist legitimasjon stopper forsøkene i stedet for å gjenta dem, og alarmér ved gjentatte autentiseringsfeil slik at neste løkke blir lagt merke til i løpet av minutter og ikke klokken 02:40.

Når rapporten går til støtte, behold kontoidentifikatoren, tidsstemplene og klientnavnet. Passord og gjenopprettingsmateriale hører aldri hjemme i den posten.