ทำไมการเชื่อมต่อ VPN ใหม่จึงขอข้อมูลรับรองอีกครั้ง
รหัสผ่านที่บันทึกไว้และโทเค็นที่ใช้ซ้ำได้หมดอายุตามกำหนดการที่ต่างกัน อ่านว่าการเชื่อมต่อใหม่ขอวัสดุใดก่อนจะเปลี่ยนอะไรบนไคลเอนต์
อุโมงค์ที่ทำงานมาหลายชั่วโมงขอรหัสผ่านในทันทีที่แล็ปท็อปตื่นขึ้น และไม่มีอะไรเปลี่ยนในคอนฟิกูเรชัน สิ่งที่เปลี่ยนคือสถานะของข้อมูลรับรองที่การเชื่อมต่อใหม่พยายามนำกลับมาใช้ วัสดุสามชนิดควบคุมเรื่องนี้ และมีเพียงชนิดเดียวที่อยู่รอดผ่านช่วงเว้นว่างใด ๆ
อ่านว่าไคลเอนต์ขอชนิดใด เพราะทั้งสามหมดอายุตามนาฬิกาที่ต่างกันและล้มเหลวด้วยข้อความที่ต่างกัน
วัสดุที่ใช้ซ้ำได้สามชนิด
รหัสผ่านที่แคชไว้เป็นความลับที่ไคลเอนต์เก็บไว้ และยังใช้ได้จนกว่าบัญชีจะเปลี่ยน โทเค็นเซสชันออกโดยเซิร์ฟเวอร์หลังเข้าสู่ระบบสำเร็จ มีอายุของตัวเอง และเพิกถอนได้ทุกเมื่อ ตั๋วเซสชัน TLS หรือสมาคมความปลอดภัย IKE เป็นสถานะของโปรโตคอล ต่ออายุได้ถูกราคาและเป็นอิสระจากรหัสผ่านของคุณโดยสิ้นเชิง แต่ละอย่างออกโดยองค์ประกอบที่ต่างกัน และแต่ละอย่างหมดอายุตามเงื่อนไขของตัวเอง
ชนิดแรกอยู่รอดจากการรีบูต ชนิดที่สองมักอยู่รอดจากการพักเครื่อง และชนิดที่สามอาจไม่รอดจากการเปลี่ยนเครือข่ายเลย การสับสนระหว่างกันทำให้ได้วิธีแก้ที่ผิด เช่น การรีเซ็ตรหัสผ่านที่ไม่เคยถูกปฏิเสธ
ตัวพรอมป์เองคือการวินิจฉัย หน้าต่างเบราว์เซอร์หรือรหัสปัจจัยที่สองหมายความว่าเซิร์ฟเวอร์เรียกการยืนยันตัวตนแบบโต้ตอบ ขณะที่ความล้มเหลวเงียบโดยไม่มีพรอมป์หมายความว่าไคลเอนต์ไปไม่ถึงจุดที่จะถูกถาม
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
การเปลี่ยนคีย์ไม่ใช่การยืนยันตัวตนใหม่
การเปลี่ยนคีย์แทนที่คีย์โดยคงตัวตนที่ยืนยันแล้ว นั่นคือเหตุผลที่มันเกิดขึ้นเงียบ ๆ เป็นครั้งคราวบนอุโมงค์ที่แข็งแรง การยืนยันตัวตนใหม่ทำการตรวจสอบตัวตนซ้ำ และนั่นคือเหตุการณ์ที่ต้องการคุณ IKEv2 แยกสองอย่างนี้ออกอย่างชัดเจน และคู่ตรงข้ามสามารถเรียกการยืนยันตัวตนใหม่แบบเต็มได้ตามช่วงที่กำหนด ไม่ว่าจะมีการเปลี่ยนคีย์กี่ครั้งในระหว่างนั้น ทั้งสองเหตุการณ์ดูเหมือนกันจากภายนอกจนกว่าคุณจะอ่านว่าบันทึกระบุอันไหน
OpenVPN ทำเช่นเดียวกันในคำศัพท์ของมัน ช่วงการเจรจาใหม่จะรีเฟรชช่องข้อมูล และโทเค็นการยืนยันตัวตนสามารถส่งคืนให้ไคลเอนต์เพื่อหลีกเลี่ยงการเข้าสู่ระบบเต็มในการเชื่อมต่อครั้งถัดไป โทเค็นนั้นมีอายุ และเซิร์ฟเวอร์ตัดสินใจว่าจะรับมันอีกครั้งหรือไม่
ดังนั้นการเชื่อมต่อใหม่หลังจากแปดชั่วโมงอาจล้มเหลวในที่ที่การเชื่อมต่อใหม่หลังจากแปดนาทีสำเร็จ โดยไม่มีการเปลี่ยนแปลงคอนฟิกูเรชันทั้งสองฝ่าย นั่นคือคำอธิบายทั้งหมดของพรอมป์ที่ปรากฏเฉพาะหลังมื้อเที่ยง
เมื่อไคลเอนต์ไม่สามารถทำภารกิจใหม่ให้สำเร็จ
นโยบายที่ต้องการขั้นตอนในเบราว์เซอร์จะล้มเหลวบนไคลเอนต์ที่ไม่มีทางแสดงขั้นตอนนั้น เซิร์ฟเวอร์ที่ไม่มีหน้าจอ สคริปต์เริ่มระบบ และโปรไฟล์เก่าที่สร้างสำหรับการยืนยันด้วยรหัสผ่านเท่านั้น ล้วนชนกำแพงนั้น และความล้มเหลวมักปรากฏเป็นหมดเวลาแบบทั่วไปมากกว่าข้อผิดพลาดการยืนยันตัวตน
การเปลี่ยนอุปกรณ์และเครือข่ายก็อาจอยู่ในหน้าต่างประเมินนโยบายได้เช่นกัน ดังนั้นการย้ายจาก Wi-Fi ไปยังฮอตสปอตจึงตรงกับการตรวจสอบที่จะเกิดขึ้นอยู่แล้ว ความบังเอิญนั้นทำให้เครือข่ายดูเป็นผู้ผิดทั้งที่สาเหตุคือตัวจับเวลา
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
บรรทัดแรกแสดงเหตุการณ์การเจรจาใหม่และการยืนยันตัวตนในบันทึกของไคลเอนต์เอง และบรรทัดที่สองแสดงสมาคมความปลอดภัยที่คู่ตรงข้าม strongSwan ถืออยู่ตอนนี้ เปรียบเทียบเวลากับช่วงที่พรอมป์ปรากฏ หากตรงกันแสดงว่าตัวจับเวลาเป็นสาเหตุ ไม่ใช่เครือข่าย
สิ่งที่ควรรายงาน และสิ่งที่ไม่ควรปิด
หากการเข้าสู่ระบบด้วยมือสำเร็จและการใช้ซ้ำอัตโนมัติล้มเหลวสม่ำเสมอ ให้บอกผู้ดูแลระบบอย่างตรงไปตรงมา นั่นระบุองค์ประกอบ คือเส้นทางการใช้ซ้ำ ไม่ใช่ข้อมูลรับรอง รวมเวลาเกิดเหตุ บัญชีที่ใช้ และชนิดของพรอมป์ที่คุณเห็น
อย่าปิดปัจจัยที่สอง อย่าข้ามการตรวจสอบใบรับรอง และอย่า วางข้อมูลรับรองลงในสคริปต์ เพื่อทำให้การเชื่อมต่อใหม่เงียบ แต่ละอย่างลบการตรวจสอบที่นโยบายมีอยู่เพื่อบังคับใช้ และแต่ละอย่างเปลี่ยนพรอมป์การเข้าสู่ระบบให้เป็นเหตุการณ์
ขอโฟลว์ที่ได้รับการสนับสนุนแทน ไคลเอนต์ที่ทำภารกิจให้สำเร็จได้ อายุโทเค็นที่ตรงกับวันทำงาน หรือโปรไฟล์แบบไม่โต้ตอบที่ได้รับอนุมัติสำหรับเครื่องที่ไม่สามารถถามได้ ทั้งหมดเป็นการตัดสินใจด้านคอนฟิกูเรชันที่ใครบางคนอนุมัติได้ ซึ่งวิธีเลี่ยงไม่ใช่