Kohëmatësi i sesionit VPN dhe shenja e vërtetimit skadojnë veçmas

Një ndërprerje e VPN-së mund të ndodhë për arsye që nga ana e klientit duken njësoj dhe nën sipërfaqe nuk kanë asgjë të përbashkët: sesioni i tunelit mbaroi, u aktivizua një kohëmatës pasiviteti, ose u vjetëruan kredencialet që klienti po ripërdorte. Secila ka pronar dhe zgjidhje të ndryshme. Është pikërisht sekuenca e gabimeve në momentin e ndërprerjes ajo që i ndan, dhe zakonisht është një rresht i vetëm.

Tre orë shkojnë kundër një tuneli të vetëm, dhe vetëm njëra prej tyre është tuneli.

Tre orë të ndryshme në një tunel të vetëm

Ora e sesionit i përket portës: kohëzgjatje maksimale e lidhjes, kufi kohor pasiviteti ose të dyja, dhe e përfundon tunelin kur arrihet cilado prej tyre. Ora e shenjës i përket sistemit të vërtetimit, dhe vendos sa kohë kredencialet mund të paraqiten përsëri pa një njeri. Ora e rrugës i përket çdo NAT ose muri zjarri midis klientit dhe portës, dhe i lë hartëzimet të skadojnë për rrjedhat që i konsideron të përfunduara. Të treja prodhojnë një shkëputje, dhe asnjëra nuk prodhon të njëjtin rresht regjistri.

Vetëm e para është koncept i VPN-së. Dy të tjerat janë huazuar nga identiteti dhe rrjetet, dhe ngatërrohen rregullisht me të.

Si ripërdoret në të vërtetë shenja

Serverat OpenVPN mund të lëshojnë një shenjë vërtetimi pas hyrjes fillestare, kështu që një rinegocim i kanalit të kontrollit nuk i kërkon përsëri kredenciale përdoruesit. Klienti vazhdon të paraqesë atë shenjë dhe serveri vendos sa kohë ajo mbetet e pranueshme. Kur jetëgjatësia e shenjës është më e shkurtër se intervali i rinegocimit, rinegocimi i radhës dështon dhe klienti raporton një gabim vërtetimi në vend të një afati kohor. Kjo është arsyeja pse i njëjti profil punon për një orë dhe pastaj dështon në një pikë fikse.

Intervali i rinegocimit është një cilësim i veçantë. Ndryshimi i tij zhvendos kur paraqitet shenja, jo sa kohë jeton ajo.

Si duket çdo skadim nga ana e klientit

Një afat kohor sesioni zakonisht vjen si një shkëputje e pastër me një arsye nga ana e serverit, shpesh pas një kohezgjatjeje të parashikueshme dhe pa asnjë gabim vërtetimi. Një afat kohor pasiviteti duket si heshtje: tuneli ndalon së transportuari trafikun, dhe pastaj mekanizmi i mbajtjes së lidhjes dorëzohet. Një skadim i shenjës vjen si AUTH_FAILED në mes të një sesioni që punonte një sekondë më parë.

Lexoni rreshtin dhe pastaj shikoni orën. Një kohëzgjatje që përputhet me një vlerë të konfiguruar nuk është rastësi.

Pse një fjalëkalim i ruajtur nuk ndihmon

Një fjalëkalim në cache i përgjigjet një sfide për një fjalëkalim. Nuk e zgjat jetëgjatësinë e një shenje dhe nuk e plotëson një sfidë për një faktor të dytë ose një kontroll të gjendjes së pajisjes. Rritja e shpeshtësisë së provave, shkurtimi i afateve kohore të lidhjes ose riimportimi i profilit nuk ndryshon asgjë në lidhje me sa kohë sistemi i identitetit do t'i pranojë kredencialet.

Rregullimet e qëndrueshme janë jetëgjatësia e duhur në objektin e duhur, ose një rrjedhë klienti që mund ta përfundojë sfidën e kërkuar pa një njeri.

Çfarë duhet dokumentuar dhe testuar

Shkruani të tre vlerat: kufijtë e sesionit dhe të pasivitetit të portës, jetëgjatësinë e shenjës dhe afatin më të shkurtër relevant të hartëzimit në rrugë. Më pas testoni me qellim çdo skadim duke shkurtuar një vlerë, duke vëzhguar çfarë raporton klienti dhe duke e rikthyer. Konfirmoni çfarë duhet të bëjë përdoruesi në çdo kufi, sepse të kërkosh një hyrje të plotë çdo orë është një vendim politike që dikush duhej ta merrte me qellim.

Një ndërprerje që vjen pa asnjë ngjarje vërtetimi i përket rrugës ose kohëmatësit të pasivitetit, dhe ky është një hetim tjetër me prova të tjera.