Uzamknutí kvôli slučke opakovaných pokusov VPN: najprv zastavte klienta

O 02:40 sa účet uzamkne a pri klávesnici nikto nie je. Klient na poličke naďalej predkladá heslo, ktoré si uložil minulý mesiac, brána ho naďalej odmieta a počítadlo za uzamknutím rastie bez účasti človeka. Toto je slučka opakovaných pokusov, nie útok, a treba ju zastaviť skôr, než bude možné účet obnoviť.

Berte to ako dva problémy v pevnom poradí. Najprv zastavte odosielateľa, potom obnovte prístup, pretože opačné poradie slučku do niekoľkých minút znovu spustí.

Zistite, ktorý proces odosiela zlyhania

Začnite od časových pečiatok v systéme identít a porovnajte ich s každým klientom, ktorý má účet. Spravovaný profil, služba bez dozoru, telefón v zásuvke aj záložný notebook so starými údajmi sa všetky môžu autentifikovať ako tá istá osoba. Ten, ktorý zlyháva každých pár sekúnd, je slučka, a ten, ktorý zlyháva raz denne, je zvyčajne človek, ktorý zabudol. Oba napájajú to isté počítadlo, a v tom je pasca.

Pri pohľade rozlišujte odmietnutie od nedostupnej brány. Vypršanie časového limitu, zlyhanie prekladu mien alebo zatvorený port zvyčajne počítadlo zlyhaní nezvyšujú, kým dokončená výmena autentifikácie, ktorá vráti výsledok nesprávnych údajov, ho zvyšuje. Miešanie oboch vedie k nesprávnej oprave, pretože jedno vyžaduje zastavenie klienta a druhé opravu cesty.

Tri podmienky, ktoré určujú reakciu

Tri skutočnosti zužujú toto na jednu odpoveď. Po prvé, či záznam ukazuje výslovné odmietnutie alebo transportné zlyhanie. Po druhé, či je identita zdieľaná medzi zariadeniami alebo službami. Po tretie, či klienta, ktorý opakuje pokusy, spravujete vy alebo ho ovláda niekto iný.

Výslovné odmietnutie od jediného klienta, ktorého ovládate, znamená zastaviť tohto klienta, odomknúť schválenou cestou a vykonať jedno zámerné prihlásenie. Zdieľaná identita tlačí odpoveď k zriaďovaniu a nie k odomykaniu, pretože slučka sa obnoví v okamihu, keď sa druhé zariadenie znova pripojí. Transportné zlyhania ukazujú na sieťovú vrstvu, kde ochrana účtu vôbec nie je témou.

Žiadna z týchto vetiev nezahŕňa oslabenie ochrany. Prahy uzamknutia a limity rýchlosti existujú preto, lebo ten istý signál, ktorý vás počas výpadku obťažuje, je signálom, ktorý spomaľuje pokus o uhádnutie hesla.

Zastavte odosielateľa pred odomknutím

Zastavte jednotku alebo spojenie, ktoré sa stále autentifikuje, a zastavte ho tak, aby to prežilo reštart. Pozastavenie klienta nestačí, keď je jeho služba nastavená na automatické spustenie pri štarte.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Počkajte niekoľko minút a overte, že počítadlo zlyhaní sa prestalo hýbať. Tá pauza je dôkaz, že ste našli správny zdroj. Ak zlyhania pokračujú, slučka prichádza odinakiaľ a krok odomknutia by bol zbytočný.

Až potom použite operátorov zdokumentovaný proces odomknutia alebo obnovy a vykonajte ho s presne jedným riadeným prihlásením zo zariadenia, ktoré si chcete ponechať. Presné prahy, ochladzovacie obdobia a formulácia obnovy sú špecifické pre službu, preto si ich prečítajte, namiesto toho, aby ste hádali číslo.

Odstráňte príčinu, aby sa to nevrátilo

Aktualizujte uložené údaje tam, kde sú vlastnené: v kľúčenke operačného systému, v profile klienta alebo v konfigurácii servisného účtu. Zmazať ich na jednom mieste, kým iné si drží kópiu, je spôsob, ako sa slučka vráti o týždeň, zvyčajne keď sa notebook, ktorý bol offline, vráti a prehrá svoju uloženú hodnotu.

Dajte automatizácii vlastnú identitu. Samostatne zriadený účet s vlastnými údajmi a vlastnými limitmi nedovolí poruche stroja uzamknúť človeku e-mail a robí poruchu dohľadateľnou v logoch. Pridajte klientovi odstup, aby odmietnuté údaje zastavili opakovanie namiesto toho, aby ho opakovali, a nastavte poplach na opakované zlyhania autentifikácie, aby si ďalšiu slučku niekto všimol v priebehu minút a nie o 02:40.

Keď správa ide na podporu, ponechajte identifikátor účtu, časové pečiatky a názov klienta. Heslá a materiály na obnovu do tohto záznamu nikdy nepatria.