Заблокирован из-за цикла повторных попыток VPN: сначала остановите клиента

В 02:40 аккаунт блокируется, и за клавиатурой никого нет. Клиент на полке продолжает предъявлять пароль, сохранённый в прошлом месяце, шлюз продолжает его отклонять, а счётчик за блокировкой растёт без участия человека. Это цикл повторных попыток, а не атака, и его нужно остановить до того, как аккаунт можно будет восстановить.

Рассматривайте это как две проблемы в фиксированном порядке. Сначала остановите отправителя, затем восстановите доступ, потому что обратный порядок снова запустит цикл в течение нескольких минут.

Определите, какой процесс отправляет ошибки

Начните с отметок времени в системе идентификации и сопоставьте их с каждым клиентом, у которого есть аккаунт. Управляемый профиль, служба без присмотра, телефон в ящике и запасной ноутбук со старыми учётными данными — все они могут аутентифицироваться как один и тот же человек. Тот, что терпит неудачу каждые несколько секунд, и есть цикл, а тот, что терпит неудачу раз в день, обычно человек, который забыл. Оба кормят один и тот же счётчик, и в этом ловушка.

Пока смотрите, отличайте отказ от недоступного шлюза. Тайм-аут, сбой разрешения имён или закрытый порт обычно не увеличивают счётчик неудач, тогда как завершённый обмен аутентификации, возвращающий результат о неверных учётных данных, увеличивает. Смешение двух даёт неверное исправление, потому что в одном случае нужно остановить клиент, а в другом — починить путь.

Три условия, которые определяют реакцию

Три факта сужают это до одного ответа. Первое — показывает ли запись явный отказ или сбой транспорта. Второе — общая ли идентичность для устройств или служб. Третье — тот клиент, который повторяет попытки, управляется вами или кем-то ещё.

Явный отказ от единственного клиента, который вы контролируете, означает остановить этот клиент, снять блокировку утверждённым путём и выполнить один осознанный вход. Общая идентичность толкает ответ к выделению ресурсов, а не к разблокировке, поскольку цикл возобновится в тот момент, когда другое устройство подключится снова. Сбои транспорта указывают на сетевой уровень, где защита аккаунта вообще ни при чём.

Ни одна из этих ветвей не предполагает ослабления защиты. Пороги блокировки и ограничения скорости существуют потому, что тот же сигнал, который раздражает вас во время сбоя, — это сигнал, который замедляет попытку подобрать пароль.

Остановите отправителя до разблокировки

Остановите тот модуль или соединение, которое продолжает аутентифицироваться, и остановите так, чтобы это пережило перезагрузку. Паузы клиента недостаточно, если его служба настроена запускаться автоматически при загрузке.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Подождите несколько минут и убедитесь, что счётчик неудач перестал двигаться. Эта пауза — доказательство, что вы нашли правильный источник. Если неудачи продолжаются, цикл идёт откуда-то ещё, и шаг разблокировки был бы потрачен впустую.

Только тогда используйте документированную процедуру разблокировки или восстановления оператора и выполните её ровно с одним контролируемым входом с устройства, которое вы собираетесь оставить. Точные пороги, периоды ожидания и формулировки восстановления зависят от службы, поэтому читайте их, а не угадывайте число.

Устраните причину, чтобы она не вернулась

Обновите сохранённые учётные данные там, где они принадлежат: в связке ключей операционной системы, в профиле клиента или в конфигурации служебной учётной записи. Если стереть их в одном месте, а в другом останется копия, цикл вернётся через неделю — обычно когда ноутбук, который был офлайн, возвращается и воспроизводит сохранённое значение.

Дайте автоматизации собственную идентичность. Отдельно выделенная учётная запись со своими учётными данными и своими лимитами не позволяет сбою машины заблокировать человеку почту и делает сбой атрибутируемым в журналах. Добавьте в клиент отступление, чтобы отклонённые учётные данные останавливали повторы, а не повторяли их, и настройте сигнал о повторяющихся сбоях аутентификации, чтобы следующий цикл заметили за минуты, а не в 02:40.

Когда отчёт уходит в поддержку, сохраните идентификатор аккаунта, отметки времени и имя клиента. Пароли и материалы восстановления никогда не принадлежат этой записи.