Časovač relácie VPN a overovací token vypršia oddelene

Odpojenie VPN môže nastať z dôvodov, ktoré z pohľadu klienta vyzerajú rovnako a vnútri nemajú nič spoločné: relácia tunela sa skončila, spustil sa časovač nečinnosti alebo zastarali prihlasovacie údaje, ktoré klient znovu používal. Každý má iného vlastníka a inú opravu. Práve sled chýb v okamihu odpojenia ich odlišuje, a zvyčajne ide o jeden riadok.

Proti jednému tunelu bežia troje hodiny a len jedny z nich sú tunel.

Troje rôzne hodiny na jednom tuneli

Hodiny relácie patria bráne: maximálny čas pripojenia, časový limit nečinnosti alebo oboje, a tunel ukončia, keď sa dosiahne ktorýkoľvek z nich. Hodiny tokenu patria overovaciemu systému a rozhodujú, ako dlho možno prihlasovací údaj znovu predložiť bez človeka. Hodiny cesty patria akémukoľvek NAT alebo firewallu medzi klientom a bránou a nechávajú vypršať mapovania pre toky, ktoré považujú za ukončené. Všetky tri spôsobia odpojenie a žiadne z nich neprodukuje rovnaký riadok v logu.

Iba prvý je pojem VPN. Zvyšné dve sú vypožičané z identity a sietí a bežne sa s ním zamieňajú.

Ako sa token skutočne znovu používa

Servery OpenVPN môžu po prvom prihlásení vydať overovací token, takže renegociácia riadiaceho kanála už nežiada od používateľa prihlasovacie údaje. Klient tento token naďalej predkladá a server rozhoduje, ako dlho zostane prijateľný. Keď je životnosť tokenu kratšia ako interval renegociácie, nasledujúca renegociácia zlyhá a klient nahlási chybu overenia namiesto časového limitu. Preto ten istý profil funguje hodinu a potom zlyhá v pevnom bode.

Interval renegociácie je samostatné nastavenie. Jeho zmena posúva, kedy sa token predkladá, nie ako dlho žije.

Ako každé vypršanie vyzerá z pohľadu klienta

Časový limit relácie zvyčajne prichádza ako čisté odpojenie s dôvodom na strane servera, často po predvídateľnom čase a bez overovacej chyby. Časový limit nečinnosti vyzerá ako ticho: tunel prestane prenášať prevádzku a potom to keepalive vzdá. Vypršanie tokenu prichádza ako AUTH_FAILED uprostred relácie, ktorá ešte pred sekundou fungovala.

Prečítajte riadok a potom sa pozrite na hodiny. Čas, ktorý zodpovedá nastavenej hodnote, nie je náhoda.

Prečo uložené heslo nepomôže

Heslo v medzipamäti odpovedá na výzvu na zadanie hesla. Nepredlžuje životnosť tokenu a neuspokojí výzvu druhého faktora ani kontrolu stavu zariadenia. Zvyšovanie frekvencie opakovaní, skracovanie časových limitov pripojenia alebo opätovný import profilu nič nemení na tom, ako dlho bude systém identity prihlasovací údaj prijímať.

Trvalé opravy sú správna životnosť na správnom objekte, alebo klientsky tok, ktorý dokáže požadovanú výzvu dokončiť bez človeka.

Čo zdokumentovať a otestovať

Zapíšte všetky tri hodnoty: limity relácie a nečinnosti brány, životnosť tokenu a najkratší relevantný časový limit mapovania na ceste. Potom každé vypršanie cielene otestujte skrátením jednej hodnoty, sledovaním, čo klient hlási, a obnovením hodnoty. Potvrďte, čo musí používateľ urobiť na každej hranici, pretože vyžadovať plné prihlásenie každú hodinu je politické rozhodnutie, ktoré mal niekto urobiť zámerne.

Odpojenie, ktoré prichádza úplne bez akejkoľvek overovacej udalosti, patrí ceste alebo časovaču nečinnosti, a to je iné vyšetrovanie s inými dôkazmi.