I bllokuar nga një cikël ritentimesh VPN: ndalo klientin në fillim

Në orën 02:40 llogaria bllokohet dhe askush nuk është pranë tastierës. Një klient në një raft vazhdon të paraqesë fjalëkalimin që ruajti muajin e kaluar, porta vazhdon ta refuzojë, dhe numëruesi pas bllokimit rritet pa përfshirjen e një njeriu. Ky është një cikël ritentimesh dhe jo sulm, dhe duhet ndalur përpara se llogaria të mund të rikuperohet.

Trajtoje si dy probleme në një rend fiks. Ndal fillimisht dërguesin, pastaj rivendos aksesin, sepse rendi i kundërt e rinis ciklin brenda disa minutave.

Zbulo cili proces po dërgon dështimet

Fillo nga vulat kohore në sistemin e identitetit dhe krahasoji me çdo klient që mban llogarinë. Një profil i menaxhuar, një shërbim pa mbikëqyrje, një telefon në një sirtar dhe një laptop rezervë me kredenciale të vjetra mund të autentifikohen të gjithë si i njëjti person. Ai që dështon çdo disa sekonda është cikli, dhe ai që dështon një herë në ditë është zakonisht një njeri që harroi. Të dy ushqejnë të njëjtin numërues, dhe këtu është kurthi.

Ndërsa shikon, dallo një refuzim nga një portë e paarritshme. Një skadim kohe, një dështim i zgjidhjes së emrave ose një port i mbyllur normalisht nuk rrisin numëruesin e dështimeve, ndërsa një shkëmbim autentifikimi i përfunduar që kthen një rezultat kredenciali të gabuar e rrit atë. Përzierja e të dyjave jep rregullimin e gabuar, sepse njëra kërkon klientin të ndalur dhe tjetra kërkon rrugën të riparuar.

Tre kushte që përcaktojnë përgjigjen

Tre fakte e ngushtojnë këtë në një përgjigje. Së pari, nëse regjistri tregon një refuzim të qartë apo një dështim transporti. Së dyti, nëse identiteti është i përbashkët mes pajisjeve ose shërbimeve. Së treti, nëse klienti që ritenton është një që ju administroni apo një që kontrollohet nga dikush tjetër.

Një refuzim i qartë nga një klient i vetëm që ju kontrolloni do të thotë ndal atë klient, zhblloko përmes rrugës së miratuar dhe bëj një hyrje të vetme të qëllimshme. Një identitet i përbashkët e shtyn përgjigjen drejt furnizimit dhe jo drejt zhbllokimit, sepse cikli do të rifillojë në momentin që pajisja tjetër rilidhet. Dështimet e transportit tregojnë shtresën e rrjetit, ku mbrojtja e llogarisë nuk është aspak çështja.

Asnjë nga këto degë nuk përfshin dobësimin e mbrojtjes. Pragjet e bllokimit dhe kufizimet e shpejtësisë ekzistojnë sepse i njëjti sinjal që ju shqetëson gjatë një ndërprerjeje është sinjali që ngadalëson një përpjekje për të hamendësuar fjalëkalimin.

Ndalo dërguesin përpara se të zhbllokosh

Ndal njësinë ose lidhjen që vazhdon të autentifikohet, dhe ndaloje në një mënyrë që i mbijeton një rinisjeje. Vënia në pauzë e klientit nuk mjafton kur shërbimi i tij është i vendosur të nisë automatikisht gjatë nisjes.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Prit disa minuta dhe konfirmo që numëruesi i dështimeve ndaloi së lëvizuri. Ajo pauzë është prova që gjetët burimin e duhur. Nëse dështimet vazhdojnë, cikli vjen nga diku tjetër dhe hapi i zhbllokimit do të kishte shkuar dëm.

Vetëm atëherë përdor procesin e dokumentuar të zhbllokimit ose rikuperimit të operatorit, dhe ndiqe me saktësisht një hyrje të kontrolluar nga pajisja që synon të mbash. Pragjet e sakta, periudhat e ftohjes dhe formulimi i rikuperimit janë specifike për shërbimin, prandaj lexoji ato në vend që të hamendësosh një numër.

Hiq shkakun që të mos kthehet

Përditëso kredencialin e ruajtur aty ku zotërohet: në unazën e çelësave të sistemit operativ, në profilin e klientit ose në konfigurimin e llogarisë së shërbimit. Fshirja e tij në një vend ndërsa një tjetër mban një kopje është mënyra se si cikli kthehet një javë më vonë, zakonisht kur një laptop që ishte jashtë linje kthehet dhe riprodhon vlerën e tij të ruajtur.

Jepi automatizimit identitetin e vet. Një llogari e furnizuar veçmas me kredencialin dhe kufijtë e saj parandalon që një dështim makine të bllokojë një person nga posta elektronike, dhe e bën dështimin të atribueshëm në regjistra. Shto një tërheqje te klienti në mënyrë që një kredencial i refuzuar të ndalojë ritentimet në vend që t'i përsëritë, dhe vendos një alarm për dështimet e përsëritura të autentifikimit që cikli tjetër të vërehet brenda minutave dhe jo në 02:40.

Kur raporti shkon te mbështetja, mbaj identifikuesin e llogarisë, vulat kohore dhe emrin e klientit. Fjalëkalimet dhe materiali i rikuperimit nuk i përkasin kurrë atij regjistri.