Закључани због петље поновних покушаја VPN-а: прво зауставите клијента

У 02:40 налог се закључава и никог нема за тастатуром. Клијент на полици наставља да приказује лозинку коју је сачувао прошлог месеца, мрежни пролаз је наставља да одбија, а бројач иза закључавања расте без људског учешћа. Ово је петља поновних покушаја, а не напад, и мора се зауставити пре него што налог може да се опорави.

Третирајте то као два проблема у утврђеном редоследу. Прво зауставите пошиљаоца, затим вратите приступ, јер обрнути редослед поново покреће петљу у року од неколико минута.

Утврдите који процес шаље неуспехе

Почните од временских ознака у систему идентитета и упоредите их са сваким клијентом који држи налог. Управљани профил, услуга без надзора, телефон у фиоци и резервни лаптоп са старим акредитивима сви могу да се аутентификују као иста особа. Онај који не успева сваких неколико секунди је петља, а онај који не успева једном дневно је обично човек који је заборавио. Оба пуне исти бројач, и у томе је замка.

Док гледате, разликујте одбијање од недоступног пролаза. Истек времена, неуспех разрешавања имена или затворен порт обично не повећавају бројач неуспеха, док завршена размена аутентификације која враћа резултат лошег акредитива повећава. Мешање тога два даје погрешан поправак, јер једно захтева заустављање клијента, а друго поправку пута.

Три услова која одређују одговор

Три чињенице своде ово на један одговор. Прво, да ли запис показује изричито одбијање или транспортни квар. Друго, да ли је идентитет дељен међу уређајима или услугама. Треће, да ли клијента који понавља покушаје администрирате ви или га контролише неко други.

Изричито одбијање једног клијента који је под вашом контролом значи зауставите тај клијент, откључајте одобреним путем и обавите једну намерну пријаву. Дељени идентитет гура одговор ка обезбеђивању, а не ка откључавању, јер ће се петља наставити оног тренутка када се други уређај поново повеже. Транспортни кварови упућују на мрежни слој, где заштита налога уопште није тема.

Ниједна од тих грана не подразумева слабљење заштите. Прагови закључавања и ограничења брзине постоје зато што је исти сигнал који вас нервира током прекида сигнал који успорава покушај погађања лозинке.

Зауставите пошиљаоца пре откључавања

Зауставите јединицу или везу која наставља да се аутентификује, и зауставите је тако да то преживи поновно покретање. Паузирање клијента није довољно када је његова услуга подешена да се аутоматски покрене при подизању система.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Сачекајте неколико минута и потврдите да је бројач неуспеха престао да се креће. Та пауза је доказ да сте пронашли прави извор. Ако неуспеси потрају, петља долази са другог места и корак откључавања био би узалудан.

Тек тада употребите оператеров документовани поступак откључавања или опоравка и спроведите га са тачно једном контролисаном пријавом са уређаја који намеравате да задржите. Тачни прагови, периоди хлађења и формулације опоравка специфични су за услугу, зато их прочитајте уместо да погађате број.

Уклоните узрок да се не врати

Ажурирајте сачувани акредитив тамо где се поседује: у привеску кључева оперативног система, у профилу клијента или у конфигурацији сервисног налога. Брисање на једном месту док друго држи копију је начин на који се петља враћа за недељу дана, обично када се лаптоп који је био ван мреже врати и поново одсвира своју кеширану вредност.

Дајте аутоматизацији сопствени идентитет. Одвојено обезбеђен налог са сопственим акредитивом и сопственим ограничењима спречава да квар машине закључа човека изван е-поште и чини квар приписивим у дневницима. Додајте попуштање клијенту тако да одбијени акредитив заустави понављања уместо да их понавља, и подесите аларм на поновљене неуспехе аутентификације да се следећа петља примети за неколико минута, а не у 02:40.

Када извештај оде подршци, задржите идентификатор налога, временске ознаке и име клијента. Лозинке и материјал за опоравак никада не припадају том запису.