Stengd ute av ei VPN-forsøksløkke: stopp klienten først

Klokka 02:40 vert kontoen låst, og det er ingen ved tastaturet. Ein klient på ei hylle held fram med å presentere passordet han lagra i førre månad, gatewayen held fram med å avvise det, og teljaren bak utelåsinga stig utan at eit menneske er involvert. Dette er ei forsøksløkke og ikkje eit åtak, og ho må stoggast før kontoen kan attopprettast.

Handter det som to problem i ein fast rekkjefølgje. Stopp avsendaren først, og attopprett deretter tilgangen, for den motsette rekkjefølgja startar løkka på nytt i løpet av nokre minutt.

Finn ut kva prosess som sender feila

Start med tidsstempla i identitetssystemet og samanlikn dei med kvar klient som har kontoen. Ein styrt profil, ei teneste utan tilsyn, ein telefon i ein skuff og ein ekstra berbar PC med gamle legitimasjonar kan alle autentisere som den same personen. Den som feilar kvart par sekund er løkka, og den som feilar éin gong om dagen er vanlegvis eit menneske som har gløymt det. Begge matar den same teljaren, og det er fella.

Skil mellom ei avvising og ein utilgjengeleg gateway medan du ser. Eit tidsavbrot, ein namneoppløysingsfeil eller ein lukka port aukar normalt ikkje ein feilteljar, medan ein fullført autentiseringsutveksling som returnerer eit resultat om dårleg legitimasjon gjer det. Å blande dei to gjev feil løysing, fordi den eine krev at klienten vert stogga og den andre krev at vegen vert reparert.

Tre tilhøve som avgjer svaret

Tre fakta snevrar dette inn til eitt svar. For det første om posten viser ei eksplisitt avvising eller ein transportfeil. For det andre om identiteten er delt på tvers av einingar eller tenester. For det tredje om klienten som prøver på nytt er ein du administrerer eller ein nokon andre styrer.

Ei eksplisitt avvising frå éin einaste klient du kontrollerer betyr at du stoppar den klienten, låser opp via den godkjende vegen og gjer éi medviten innlogging. Ein delt identitet skyv svaret mot klargjering i staden for opplåsing, fordi løkka held fram i det augneblinken den andre eininga koplar til att. Transportfeil peikar på nettverkslaget, der kontobeskyttjing ikkje er temaet i det heile.

Ingen av desse greinene inneber å svekkje beskyttjinga. Utelåsingstersklar og fartsgrenser finst fordi det same signalet som irriterer deg under ein driftsstans er signalet som bremsar eit forsøk på å gjette eit passord.

Stopp avsendaren før du låser opp

Stopp eininga eller tilkoplinga som held fram med å autentisere, og stopp ho på ein måte som overlever ein omstart. Å setje klienten på pause er ikkje nok når tenesta hans er stilt inn til å starte automatisk ved oppstart.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Vent nokre minutt og stadfest at feilteljaren sluttar å røre seg. Den pausen er provet på at du fann rett kjelde. Viss feila held fram, kjem løkka frå ein annan stad, og opplåsingstrinnet ville vere bortkasta.

Først då skal du bruke den dokumenterte opplåsings- eller attopprettingsprosessen til operatøren, og følgje han med nøyaktig éi kontrollert innlogging frå eininga du har tenkt å behalde. Nøyaktige tersklar, nedkjølingsperiodar og formuleringa av attopprettinga er tenestespesifikke, så les dei i staden for å gjette på eit tal.

Fjern årsaka så ho ikkje kjem tilbake

Oppdater den lagra legitimasjonen der han vert eigd: i nøkkelringen til operativsystemet, i klientprofilen eller i konfigurasjonen for tenestekontoen. Å slette han på éin stad medan ein annan stad held på ein kopi er måten løkka kjem tilbake ei veke seinare, vanlegvis når ein berbar PC som var fråkopla kjem tilbake og spelar av den bufra verdien sin.

Gje automatisering si eiga identitet. Ein separat klargjord konto med eigen legitimasjon og eigne grenser hindrar at ein maskinfeil låser ein person ute av e-post, og han gjer feilen sporbar i loggane. Legg til ein tilbakehaldenheit i klienten slik at ein avvist legitimasjon stoppar forsøka i staden for å gjenta dei, og alarmér ved gjentekne autentiseringsfeil slik at neste løkke vert lagd merke til i løpet av minutt og ikkje klokka 02:40.

Når rapporten går til støtte, hald på kontoidentifikatoren, tidsstempla og klientnamnet. Passord og attopprettingsmateriale høyrer aldri heime i den posten.