Buitengesloten door een VPN-herhaallus: stop eerst de client

Om 02:40 wordt het account vergrendeld en er zit niemand achter het toetsenbord. Een client op een plank blijft het wachtwoord aanbieden dat hij vorige maand heeft opgeslagen, de gateway blijft het weigeren, en de teller achter de vergrendeling loopt op zonder dat er een mens aan te pas komt. Dat is een herhaallus en geen aanval, en die moet worden gestopt voordat het account kan worden hersteld.

Behandel het als twee problemen in een vaste volgorde. Stop eerst de afzender en herstel daarna de toegang, want andersom start de lus binnen enkele minuten opnieuw.

Zoek uit welk proces de fouten verstuurt

Begin bij de tijdstempels in het identiteitssysteem en leg ze naast elke client die het account heeft. Een beheerd profiel, een onbeheerde dienst, een telefoon in een la en een reserve-laptop met oude inloggegevens kunnen zich allemaal als dezelfde persoon verifiëren. Degene die elke paar seconden faalt is de lus, en degene die één keer per dag faalt is meestal een mens die het vergeten is. Beide voeden dezelfde teller, en dat is de valkuil.

Onderscheid een weigering van een onbereikbare gateway terwijl je kijkt. Een time-out, een naamresolutiefout of een gesloten poort verhogen normaal gesproken geen foutteller, terwijl een voltooide authenticatie-uitwisseling die een resultaat voor slechte inloggegevens teruggeeft dat wel doet. De twee door elkaar halen levert de verkeerde oplossing op, want de ene vereist dat de client stopt en de andere dat het pad wordt hersteld.

Drie voorwaarden die de reactie bepalen

Drie feiten beperken dit tot één antwoord. Ten eerste of het record een expliciete weigering of een transportfout toont. Ten tweede of de identiteit gedeeld is over apparaten of diensten. Ten derde of de herhalende client er een is die jij beheert of een die iemand anders bestuurt.

Een expliciete weigering van één client die je beheert betekent die client stoppen, ontgrendelen via de goedgekeurde route en één bewuste aanmelding doen. Een gedeelde identiteit duwt het antwoord richting inrichting in plaats van ontgrendeling, omdat de lus hervat zodra het andere apparaat opnieuw verbinding maakt. Transportfouten wijzen op de netwerklaag, waar accountbescherming helemaal niet aan de orde is.

Geen van die takken houdt in dat de bescherming wordt verzwakt. Vergrendelingsdrempels en snelheidslimieten bestaan omdat hetzelfde signaal dat je tijdens een storing irriteert het signaal is dat een poging om een wachtwoord te raden vertraagt.

Stop de afzender voordat je ontgrendelt

Stop de eenheid of verbinding die blijft authenticeren, en stop die op een manier die een herstart overleeft. De client pauzeren is niet genoeg wanneer zijn dienst is ingesteld om bij het opstarten automatisch te beginnen.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Wacht een paar minuten en bevestig dat de foutteller stopt met bewegen. Die pauze is het bewijs dat je de juiste bron hebt gevonden. Als de fouten doorgaan, komt de lus ergens anders vandaan en zou de ontgrendelingsstap verspild zijn.

Gebruik pas dan het gedocumenteerde ontgrendelings- of herstelproces van de operator, en volg het met precies één gecontroleerde aanmelding vanaf het apparaat dat je wilt houden. Exacte drempels, afkoelperiodes en de formulering van het herstel zijn dienstspecifiek, dus lees ze in plaats van een getal te raden.

Verwijder de oorzaak zodat het niet terugkomt

Werk het opgeslagen inloggegeven bij waar het eigendom is: in de sleutelring van het besturingssysteem, in het clientprofiel of in de configuratie van het serviceaccount. Het op één plek wissen terwijl een andere plek een kopie houdt, is hoe de lus een week later terugkomt, meestal wanneer een laptop die offline was terugkeert en zijn gecachte waarde opnieuw afspeelt.

Geef automatisering een eigen identiteit. Een apart ingericht account met eigen inloggegevens en eigen limieten voorkomt dat een machinefout iemand buiten de e-mail sluit, en het maakt de fout toerekenbaar in de logboeken. Voeg een terugtrekking toe aan de client zodat een geweigerd inloggegeven de herhalingen stopt in plaats van ze te herhalen, en alarmeer op herhaalde authenticatiefouten zodat de volgende lus binnen enkele minuten wordt opgemerkt en niet om 02:40.

Wanneer het rapport naar support gaat, houd dan de accountidentificatie, de tijdstempels en de clientnaam. Wachtwoorden en herstelmateriaal horen nooit in dat record.