Тајмер VPN сесије и токен за аутентификацију истичу одвојено

Прекид VPN-а може настати из разлога који са клијентске стране изгледају исто, а испод површине немају ништа заједничко: сесија тунела је завршена, активирао се тајмер неактивности или су застарели акредитиви које је клијент поново користио. Сваки има другог власника и друго решење. Управо редослед грешака у тренутку прекида их раздваја, и обично је то једна линија.

Три сата иду против једног тунела, и само један од њих је сам тунел.

Три различита сата на једном тунелу

Сат сесије припада пролазу: максимално трајање везе, тајмаут неактивности или обоје, и завршава тунел када се достигне било шта од тога. Сат токена припада систему аутентификације и одлучује колико дуго се акредитив може поново представити без човека. Сат путање припада било ком NAT-у или заштитном зиду између клијента и пролаза, и дозвољава да мапирања истеку за токове које сматра завршеним. Сва три производе прекид везе, и ниједан не даје исти ред у дневнику.

Само је први појам VPN-а. Друга два су позајмљена из идентитета и мрежа, и рутински се мешају с њим.

Како се токен заправо поново користи

OpenVPN сервери могу издати токен за аутентификацију након првобитне пријаве, па поновно преговарање контролног канала више не тражи акредитиве од корисника. Клијент наставља да представља тај токен, а сервер одлучује колико дуго он остаје прихватљив. Када је животни век токена краћи од интервала поновног преговарања, следеће преговарање не успева, и клијент пријављује грешку аутентификације уместо тајмаута. Зато исти профил ради један сат, а затим не успева у фиксној тачки.

Интервал поновног преговарања је засебно подешавање. Његова промена помера када се токен представља, а не колико дуго живи.

Како изгледа свако истекање са клијентске стране

Тајмаут сесије обично долази као чисто прекидање везе са разлогом на страни сервера, често после предвидивог трајања и без грешке аутентификације. Тајмаут неактивности изгледа као тишина: тунел престаје да носи саобраћај, а затим одржавање везе одустаје. Истекање токена долази као AUTH_FAILED усред сесије која је радила секунду пре тога.

Прочитајте ред, а затим погледајте на сат. Трајање које се поклапа са подешеном вредношћу није случајност.

Зашто сачувана лозинка не помаже

Лозинка у кешу одговара на изазов за лозинку. Она не продужава животни век токена и не задовољава изазов за други фактор или проверу стања уређаја. Повећање учесталости покушаја, скраћивање тајмаута везе или поновни увоз профила ништа не мења у томе колико дуго ће систем идентитета прихватати акредитив.

Трајне поправке су прави животни век на правом објекту, или клијентски ток који може да обави тражени изазов без човека.

Шта документовати и тестирати

Запишите све три вредности: ограничења сесије и неактивности пролаза, животни век токена и најкраћи релевантни тајмаут мапирања на путањи. Затим намерно тестирајте свако истекање скраћивањем једне вредности, посматрајући шта клијент пријављује и враћајући је. Потврдите шта корисник мора да уради на свакој граници, јер захтевати пуну пријаву сваког сата је одлука о политици коју је неко требало свесно да донесе.

Прекид који долази без икаквог догађаја аутентификације припада путањи или тајмеру неактивности, а то је друга истрага са другим доказима.