Na-lockout dahil sa paulit-ulit na pagsubok ng VPN: ihinto muna ang kliyente

Sa ganap na 02:40 nagla-lock ang account at walang tao sa keyboard. Patuloy na ipinapasa ng isang kliyenteng nakasabit sa istante ang password na inimbak nito noong nakaraang buwan, patuloy itong tinatanggihan ng gateway, at tumataas ang counter sa likod ng lockout nang walang taong kasangkot. Ito ay isang paulit-ulit na pagsubok at hindi isang pag-atake, at kailangan itong ihinto bago pa mabawi ang account.

Ituring itong dalawang problema sa isang takdang pagkakasunod-sunod. Ihinto muna ang nagpapadala, saka ibalik ang access, dahil ang paggawa nito nang baliktad ay muling magsisimula ng pag-ulit sa loob ng ilang minuto.

Hanapin kung aling proseso ang nagpapadala ng mga pagkabigo

Magsimula sa mga timestamp sa sistema ng pagkakakilanlan at ihambing ang mga ito sa bawat kliyenteng may hawak ng account. Isang pinamamahalaang profile, isang serbisyong walang nagmamasid, isang teleponong nasa drawer at isang ekstrang laptop na may lumang kredensyal ay maaaring lahat magpatunay ng pagkakakilanlan bilang isang tao. Ang bumabagsak tuwing ilang segundo ang pag-ulit, at ang bumabagsak minsan sa isang araw ay karaniwang taong nakalimot. Parehong pumapasok sa iisang counter, at iyon ang bitag.

Ihiwalay ang isang pagtanggi sa isang gateway na hindi maabot habang nag-iinspeksyon ka. Ang timeout, pagkabigo sa paglutas ng pangalan o saradong port ay karaniwang hindi nagdaragdag sa counter ng pagkabigo, samantalang ang kumpletong palitan ng pagpapatunay na nagbabalik ng resulta ng maling kredensyal ay nagdaragdag. Ang paghahalo ng dalawa ay nagbubunga ng maling lunas, dahil ang isa ay nangangailangan ng paghinto ng kliyente at ang isa ay nangangailangan ng pagkumpuni ng landas.

Tatlong kondisyon na nagpapasya sa tugon

Tatlong katotohanan ang nagpapaliit nito sa isang sagot. Una, kung ang tala ay nagpapakita ng tahasang pagtanggi o ng pagkabigo sa paghahatid. Pangalawa, kung ang pagkakakilanlan ay ibinabahagi sa mga device o serbisyo. Pangatlo, kung ang kliyenteng paulit-ulit na nagsubok ay isang pinangangasiwaan mo o isang kontrolado ng iba.

Ang tahasang pagtanggi mula sa isang kliyenteng kontrolado mo ay nangangahulugang ihinto ang kliyenteng iyon, i-unlock sa aprubadong ruta at gumawa ng isang sadyang pag-login. Ang ibinahaging pagkakakilanlan ay nagtutulak sa sagot patungo sa pagbibigay ng account kaysa sa pag-unlock, dahil muling magsisimula ang pag-ulit sa sandaling makakonekta muli ang kabilang device. Ang mga pagkabigo sa paghahatid ay tumuturo sa antas ng network, kung saan ang proteksyon ng account ay hindi isyu.

Wala sa mga sangay na iyon ang nagsasangkot ng pagpapahina ng proteksyon. Umiiral ang mga hangganan ng lockout at limitasyon ng rate dahil ang mismong senyales na nakakainis sa iyo habang may outage ay ang senyales na nagpapabagal sa paghula ng password.

Ihinto ang nagpapadala bago ka mag-unlock

Ihinto ang unit o koneksyong patuloy na nagpapatunay, at ihinto ito sa paraang mananatili kahit mag-reboot. Hindi sapat ang pag-pause ng kliyente kapag ang serbisyo nito ay nakatakdang magsimula nang awtomatiko sa boot.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Maghintay ng ilang minuto at tiyakin na tumigil sa paggalaw ang bilang ng pagkabigo. Ang paghinto na iyon ang patunay na natagpuan mo ang tamang pinagmulan. Kung nagpapatuloy ang mga pagkabigo, galing sa ibang lugar ang pag-ulit at masasayang ang hakbang sa pag-unlock.

Saka mo lang gamitin ang dokumentadong proseso ng pag-unlock o pagbawi ng operator, at sundan ito ng eksaktong isang kontroladong pag-login mula sa device na balak mong itago. Ang eksaktong mga hangganan, mga panahon ng paghihintay at pananalita sa pagbawi ay depende sa serbisyo, kaya basahin ang mga ito sa halip na hulaan ang isang numero.

Alisin ang sanhi para hindi ito bumalik

I-update ang naka-save na kredensyal sa kinaroroonan nito: ang keyring ng operating system, ang profile ng kliyente, o ang kaayusan ng account ng serbisyo. Ang paglilinis nito sa isang lugar habang may ibang nag-iingat ng kopya ay kung paano bumabalik ang pag-ulit makalipas ang isang linggo, karaniwang kapag ang isang laptop na offline ay bumalik at muling ipinadala ang naka-cache na halaga.

Bigyan ng sariling pagkakakilanlan ang automation. Ang hiwalay na inilaang account na may sariling kredensyal at sariling limitasyon ay pumipigil sa pagkabigo ng makina na mag-lockout ng tao mula sa email, at ginagawa nitong maiuugnay ang pagkabigo sa mga log. Magdagdag ng backoff sa kliyente upang mapigilan ng tinanggihang kredensyal ang mga muling pagsubok sa halip na ulitin ang mga ito, at mag-alarma sa paulit-ulit na pagkabigo sa pagpapatunay upang ang susunod na pag-ulit ay mapansin sa loob ng ilang minuto sa halip na sa 02:40.

Kapag ang ulat ay napunta sa suporta, itago ang pantukoy ng account, ang mga timestamp at ang pangalan ng kliyente. Ang mga password at materyal sa pagbawi ay hindi kailanman dapat mapasama sa talang iyon.