Blocat de o buclă de reîncercări VPN: oprește mai întâi clientul

La 02:40 contul se blochează și nu este nimeni la tastatură. Un client de pe un raft continuă să prezinte parola salvată luna trecută, gateway-ul continuă să o respingă, iar contorul din spatele blocării crește fără intervenția unui om. Acesta este o buclă de reîncercări, nu un atac, și trebuie oprită înainte ca contul să poată fi recuperat.

Tratează-l ca două probleme într-o ordine fixă. Oprește mai întâi expeditorul, apoi restaurează accesul, pentru că ordinea inversă repornește bucla în câteva minute.

Află ce proces trimite eșecurile

Începe cu marcajele de timp din sistemul de identitate și compară-le cu fiecare client care deține contul. Un profil administrat, un serviciu nesupravegheat, un telefon într-un sertar și un laptop de rezervă cu acreditări vechi se pot autentifica toate ca aceeași persoană. Cel care eșuează la fiecare câteva secunde este bucla, iar cel care eșuează o dată pe zi este de obicei un om care a uitat. Ambele hrănesc același contor, și aici este capcana.

În timp ce te uiți, distinge o respingere de un gateway inaccesibil. Un timp de așteptare expirat, o eroare de rezolvare a numelui sau un port închis nu cresc de obicei un contor de eșecuri, în timp ce un schimb de autentificare finalizat care returnează un rezultat de acreditare greșită îl crește. Amestecarea celor două produce reparația greșită, pentru că una cere clientul oprit, iar cealaltă cere calea reparată.

Trei condiții care decid răspunsul

Trei fapte restrâng acest lucru la un singur răspuns. În primul rând, dacă înregistrarea arată o respingere explicită sau o defecțiune de transport. În al doilea rând, dacă identitatea este partajată între dispozitive sau servicii. În al treilea rând, dacă clientul care reîncearcă este unul pe care îl administrezi tu sau unul controlat de altcineva.

O respingere explicită de la un singur client pe care îl controlezi înseamnă oprirea acelui client, deblocarea pe calea aprobată și o singură autentificare deliberată. O identitate partajată împinge răspunsul spre provizionare și nu spre deblocare, pentru că bucla va relua în momentul în care celălalt dispozitiv se reconectează. Defecțiunile de transport indică nivelul de rețea, unde protecția contului nu este deloc subiectul.

Nicio ramură dintre acestea nu implică slăbirea protecției. Pragurile de blocare și limitele de rată există pentru că același semnal care te enervează în timpul unei căderi este semnalul care încetinește o încercare de ghicire a parolei.

Oprește expeditorul înainte de deblocare

Oprește unitatea sau conexiunea care continuă să se autentifice, și oprește-o într-un mod care supraviețuiește unei reporniri. Punerea clientului pe pauză nu este suficientă când serviciul său este setat să pornească automat la boot.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Așteaptă câteva minute și confirmă că contorul eșecurilor nu mai mișcă. Acea pauză este dovada că ai găsit sursa corectă. Dacă eșecurile continuă, bucla vine din altă parte și pasul de deblocare ar fi fost irosit.

Abia atunci folosește procesul de deblocare sau recuperare documentat al operatorului, și urmează-l cu exact o autentificare controlată de pe dispozitivul pe care intenționezi să îl păstrezi. Pragurile exacte, perioadele de răcire și formularea recuperării sunt specifice serviciului, așa că citește-le în loc să ghicești un număr.

Elimină cauza ca să nu revină

Actualizează acreditarea salvată acolo unde este deținută: în inelul de chei al sistemului de operare, în profilul clientului sau în configurația contului de serviciu. Ștergerea ei dintr-un loc în timp ce altul păstrează o copie este felul în care bucla revine o săptămână mai târziu, de obicei când un laptop care era offline se întoarce și își redă valoarea din cache.

Dă automatizării o identitate proprie. Un cont provizionat separat, cu acreditarea și limitele sale, împiedică o defecțiune a mașinii să blocheze o persoană în afara e-mailului și face defecțiunea atribuibilă în jurnale. Adaugă o retragere în client astfel încât o acreditare respinsă să oprească reîncercările în loc să le repete, și setează o alarmă la eșecurile repetate de autentificare ca următoarea buclă să fie observată în câteva minute, nu la 02:40.

Când raportul merge la suport, păstrează identificatorul contului, marcajele de timp și numele clientului. Parolele și materialul de recuperare nu aparțin niciodată acelei înregistrări.