Pse një rilidhje VPN kërkon përsëri kredencialet

Një tunel që punoi për orë të tëra kërkon një fjalëkalim në momentin që laptopi zgjohet, dhe asgjë në konfigurim nuk ka ndryshuar. Ajo që ndryshoi është gjendja e kredencialit që rilidhja u përpoq ta ripërdorte. Tre lloje materiali e qeverisin këtë, dhe vetëm njëri prej tyre i mbijeton një hendeku arbitrar.

Lexoni cilën kërkoi klienti, sepse të tre skadojnë sipas orëve të ndryshme dhe dështojnë me mesazhe të ndryshme.

Tre lloje materiali të ripërdorshëm

Fjalëkalimi i ruajtur në cache është një sekret që mbahet nga klienti, dhe mbetet i vlefshëm derisa llogaria ta ndryshojë. Tokeni i sesionit lëshohet nga serveri pas një hyrjeje të suksesshme, mban jetëgjatësinë e vet dhe mund të revokohet në çdo moment. Një biletë sesioni TLS ose një asociacion sigurie IKE është gjendje protokolli, e lirë për t'u rifilluar dhe plotësisht e pavarur nga fjalëkalimi juaj. Secili lëshohet nga një komponent i ndryshëm, dhe secili skadon sipas kushteve të veta.

I pari i mbijeton një rindezjeje, i dyti zakonisht i mbijeton një pezullimi, dhe i treti mund të mos i mbijetojë fare një ndryshimi rrjeti. Ngatërrimi i tyre prodhon rregullimin e gabuar, si rivendosja e një fjalëkalimi që nuk u refuzua kurrë.

Vetë kërkesa është diagnoza. Një dritare shfletuesi ose një kod i faktorit të dytë do të thotë se serveri kërkoi vërtetim interaktiv, ndërsa një dështim i heshtur pa kërkesë do të thotë që klienti nuk arriti mjaftueshëm larg për t'u pyetur.

Rinovimi i çelësave nuk është rivërtetim

Një rinovim çelësash zëvendëson çelësat duke mbajtur identitetin e vërtetuar, prandaj ndodh në heshtje herë pas here në një tunel të shëndetshëm. Rivërtetimi përsërit vetë kontrollin e identitetit, dhe ai është ngjarja që ka nevojë për ju. IKEv2 i ndan të dyja në mënyrë eksplicite, dhe një palë tjetër mund të kërkojë një rivërtetim të plotë në një interval të konfiguruar, pavarësisht sa rinovime çelësash ndodhën në mes. Të dyja ngjarjet duken identike nga jashtë derisa të lexoni cilën emërton regjistri.

OpenVPN sillet në të njëjtën mënyrë në fjalorin e vet: një interval rinegocimi rifreskon kanalin e të dhënave, dhe një token vërtetimi mund t'i kthehet klientit për të shmangur një hyrje të plotë në lidhjen tjetër. Ai token ka një jetëgjatësi, dhe serveri vendos nëse do ta pranojë përsëri.

Kështu një rilidhje pas tetë orësh mund të dështojë aty ku një rilidhje pas tetë minutash pati sukses, pa asnjë ndryshim konfigurimi në asnjërën anë. Ky është i gjithë shpjegimi për një kërkesë që shfaqet vetëm pas drekës.

Kur klienti nuk mund të përfundojë sfidën e re

Një politikë që kërkon një hap në shfletues do të dështojë në një klient që nuk ka si ta shfaqë. Serverët pa ndërfaqe, skriptet e nisjes dhe profilet e vjetra të ndërtuara për vërtetim vetëm me fjalëkalim të gjithë përplasen me atë mur, dhe dështimi shpesh shfaqet si një skadim i përgjithshëm kohe e jo si gabim vërtetimi.

Tranzicionet e pajisjes dhe rrjetit mund të bien gjithashtu brenda një dritareje vlerësimi të politikës, kështu që një kalim nga Wi-Fi në një hotspot përkon me një kontroll që do të ndodhte gjithsesi. Rastësia e bën rrjetin të duket fajtor kur shkaku është kohëmatësi.

openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth"
ipsec statusall | grep -i -E "rekey|reauth"

Rreshti i parë tregon ngjarjet e rinegocimit dhe vërtetimit në regjistrin e vetë klientit, dhe i dyti tregon asociacionet e sigurisë që një palë strongSwan mban tani. Krahasoni vulat kohore me momentin kur u shfaq kërkesa; një përputhje konfirmon kohëmatësin dhe jo rrjetin.

Çfarë të raportohet dhe çfarë të mos çaktivizohet

Nëse një hyrje manuale ka sukses dhe ripërdorimi automatik dështon vazhdimisht, thojani saktësisht këtë operatorit. Kjo emërton komponentin: rrugën e ripërdorimit, jo kredencialin. Përfshini kohën e dështimit, llogarinë në përdorim dhe llojin e kërkesës që patë.

Mos çaktivizoni faktorin e dytë, mos anashkaloni vlefshmërinë e certifikatës dhe mos ngjitni kredenciale në një skript për ta bërë rilidhjen të heshtur. Secila prej tyre heq kontrollin që politika ekziston për të zbatuar, dhe secila e kthen një kërkesë hyrjeje në një incident.

Kërkoni në vend të kësaj rrjedhën e mbështetur: një klient që mund ta përfundojë sfidën, një jetëgjatësi tokeni që përputhet me ditën e punës, ose një profil jo-interaktiv i miratuar për makinën që nuk mund të pyesë. Të gjitha janë vendime konfigurimi që dikush mund t'i miratojë, gjë që një zgjidhje anashkaluese nuk është.