Zaklenjeni zaradi zanke ponovnih poskusov VPN: najprej ustavite odjemalca

Ob 02:40 se račun zaklene in nikogar ni za tipkovnico. Odjemalec na polici še naprej predstavlja geslo, ki ga je shranil prejšnji mesec, prehod ga še naprej zavrača, in števec za zaklepom raste brez človekove udeležbe. To je zanka ponovnih poskusov in ne napad, zato jo je treba ustaviti, preden je račun mogoče obnoviti.

Obravnavajte to kot dva problema v določenem vrstnem redu. Najprej ustavite pošiljatelja, nato obnovite dostop, ker obrnjeni vrstni red zanko v nekaj minutah znova zažene.

Ugotovite, kateri proces pošilja napake

Začnite s časovnimi žigi v sistemu identitet in jih primerjajte z vsakim odjemalcem, ki ima račun. Upravljani profil, storitev brez nadzora, telefon v predalu in rezervni prenosnik s starimi poverilnicami se lahko vsi overijo kot ista oseba. Tisti, ki spodleti vsakih nekaj sekund, je zanka, tisti, ki spodleti enkrat na dan, pa je običajno človek, ki je pozabil. Oba napajata isti števec, in tu je past.

Med opazovanjem ločite zavrnitev od nedosegljivega prehoda. Prekoračitev časa, napaka pri razreševanju imen ali zaprta vrata običajno ne povečajo števca napak, medtem ko dokončana izmenjava overjanja, ki vrne rezultat o napačnih poverilnicah, ga poveča. Mešanje obojega da napačen popravek, ker eno zahteva ustavitev odjemalca, drugo pa popravilo poti.

Trije pogoji, ki določajo odziv

Tri dejstva zožijo to na en sam odgovor. Prvič, ali zapis kaže izrecno zavrnitev ali transportno napako. Drugič, ali je identiteta skupna med napravami ali storitvami. Tretjič, ali odjemalca, ki ponavlja poskuse, upravljate vi ali ga nadzira nekdo drug.

Izrecna zavrnitev enega odjemalca, ki ga nadzorujete, pomeni ustaviti tega odjemalca, odkleniti po odobreni poti in izvesti eno namerno prijavo. Skupna identiteta potiska odgovor k zagotavljanju in ne k odklepanju, ker se bo zanka nadaljevala v trenutku, ko se bo druga naprava znova povezala. Transportne napake kažejo na omrežni sloj, kjer zaščita računa sploh ni tema.

Nobena od teh vej ne vključuje slabitve zaščite. Pragovi zaklepa in omejitve hitrosti obstajajo zato, ker je isti signal, ki vas med izpadom moti, signal, ki upočasni poskus ugibanja gesla.

Ustavite pošiljatelja pred odklepanjem

Ustavite enoto ali povezavo, ki se še naprej overja, in jo ustavite tako, da preživi ponovni zagon. Zaustavitev odjemalca ne zadošča, ko je njegova storitev nastavljena na samodejni zagon ob zagonu sistema.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Počakajte nekaj minut in potrdite, da se je števec napak prenehal premikati. Ta premor je dokaz, da ste našli pravi vir. Če se napake nadaljujejo, zanka prihaja od drugod in korak odklepanja bi bil zaman.

Šele nato uporabite operatorjev dokumentirani postopek odklepanja ali obnovitve in ga izvedite s točno eno nadzorovano prijavo z naprave, ki jo nameravate obdržati. Natančni pragovi, obdobja ohlajanja in besedilo obnovitve so specifični za storitev, zato jih preberite, namesto da bi ugibali število.

Odpravite vzrok, da se ne vrne

Posodobite shranjeno poverilnico tam, kjer je v lasti: v ključavnici operacijskega sistema, v profilu odjemalca ali v konfiguraciji servisnega računa. Če jo izbrišete na enem mestu, medtem ko drugo hrani kopijo, se zanka vrne teden kasneje, običajno ko se prenosnik, ki je bil brez povezave, vrne in znova predvaja svojo shranjeno vrednost.

Dajte avtomatizaciji lastno identiteto. Ločeno zagotovljen račun z lastno poverilnico in lastnimi omejitvami prepreči, da bi okvara stroja zaklenila človeka iz e-pošte, in naredi okvaro v dnevnikih pripis­ljivo. Odjemalcu dodajte umik, da zavrnjena poverilnica ustavi ponovitve, namesto da bi jih ponavljala, in nastavite alarm na ponavljajoče se napake overjanja, da bo naslednja zanka opažena v nekaj minutah in ne ob 02:40.

Ko poročilo gre na podporo, obdržite identifikator računa, časovne žige in ime odjemalca. Gesla in gradivo za obnovitev nikoli ne spadata v ta zapis.