Časovnik seje VPN in žeton za preverjanje pristnosti potečeta ločeno

Prekinitev VPN se lahko zgodi zaradi vzrokov, ki so s strani odjemalca videti enako in pod površjem nimajo nič skupnega: seja predora se je končala, sprožil se je časovnik nedejavnosti ali so zastarale poverilnice, ki jih je odjemalec znova uporabljal. Vsak ima drugega lastnika in drugo rešitev. Prav zaporedje napak v trenutku prekinitve jih loči, in običajno je to ena vrstica.

Proti enemu predoru tečejo tri ure, in samo ena od njih je predor.

Tri različne ure na enem predoru

Ura seje pripada prehodu: največje trajanje povezave, časovna omejitev nedejavnosti ali oboje, in predor konča, ko je doseženo katero koli od tega. Ura žetona pripada sistemu za preverjanje pristnosti in določa, kako dolgo je mogoče poverilnice znova predstaviti brez človeka. Ura poti pripada vsakemu NAT ali požarnemu zidu med odjemalcem in prehodom, in pusti, da preslikave potekajo za tokove, ki jih šteje za končane. Vse tri povzročijo prekinitev, in nobena ne da iste vrstice dnevnika.

Samo prva je pojem VPN. Drugi dve sta izposojeni iz identitete in omrežij, in ju redno zamenjujejo z njim.

Kako se žeton dejansko znova uporablja

Strežniki OpenVPN lahko po prvi prijavi izdajo žeton za preverjanje pristnosti, tako da ponovno dogovarjanje krmilnega kanala od uporabnika ne zahteva znova poverilnic. Odjemalec še naprej predstavlja ta žeton, strežnik pa odloči, kako dolgo ostane sprejemljiv. Ko je življenjska doba žetona krajša od intervala ponovnega dogovarjanja, naslednje dogovarjanje ne uspe, in odjemalec sporoči napako preverjanja pristnosti namesto časovne omejitve. Zato isti profil deluje eno uro in nato ne uspe na fiksni točki.

Interval ponovnega dogovarjanja je ločena nastavitev. Njegova sprememba premakne, kdaj se žeton predstavi, ne pa, kako dolgo živi.

Kako je videti vsako poteklo obdobje s strani odjemalca

Časovna omejitev seje običajno pride kot čista prekinitev z razlogom na strani strežnika, pogosto po predvidljivem trajanju in brez napake preverjanja pristnosti. Časovna omejitev nedejavnosti je videti kot tišina: predor preneha prenašati promet, nato vzdrževanje povezave popusti. Potek žetona pride kot AUTH_FAILED sredi seje, ki je delovala sekundo prej.

Preberite vrstico in nato poglejte na uro. Trajanje, ki se ujema z nastavljeno vrednostjo, ni naključje.

Zakaj shranjeno geslo ne pomaga

Geslo v predpomnilniku odgovori na izziv za geslo. Ne podaljša življenjske dobe žetona in ne izpolni izziva drugega dejavnika ali preverjanja stanja naprave. Pogostejši poskusi, krajše časovne omejitve povezave ali ponoven uvoz profila ne spremenijo ničesar glede tega, kako dolgo bo sistem identitete sprejemal poverilnice.

Trajne rešitve so prava življenjska doba na pravem objektu ali odjemalski tok, ki lahko zahtevani izziv opravi brez človeka.

Kaj dokumentirati in preizkusiti

Zapišite vse tri vrednosti: omejitve seje in nedejavnosti prehoda, življenjsko dobo žetona in najkrajšo pomembno časovno omejitev preslikave na poti. Nato vsak potek namerno preizkusite tako, da skrajšate eno vrednost, opazujete, kaj sporoči odjemalec, in jo obnovite. Potrdite, kaj mora uporabnik storiti na vsaki meji, ker zahtevati popolno prijavo vsako uro je politična odločitev, ki bi jo moral nekdo sprejeti namerno.

Prekinitev, ki pride popolnoma brez dogodka preverjanja pristnosti, pripada poti ali časovniku nedejavnosti, in to je druga preiskava z drugimi dokazi.