VPN yeniden deneme döngüsü yüzünden kilitlenmek: önce istemciyi durdurun

Saat 02:40'ta hesap kilitlenir ve klavyenin başında kimse yoktur. Raftaki bir istemci geçen ay kaydettiği parolayı sunmaya devam eder, ağ geçidi onu reddetmeye devam eder ve kilidin arkasındaki sayaç insan müdahalesi olmadan tırmanır. Bu bir saldırı değil, yeniden deneme döngüsüdür ve hesap kurtarılmadan önce durdurulması gerekir.

Bunu sabit bir sırayla iki problem olarak ele alın. Önce göndereni durdurun, sonra erişimi geri yükleyin; çünkü tersini yapmak döngüyü dakikalar içinde yeniden başlatır.

Hataları hangi sürecin gönderdiğini bulun

Kimlik sistemindeki zaman damgalarından başlayın ve bunları hesabı elinde tutan her istemciyle eşleştirin. Yönetilen bir profil, başında kimsenin olmadığı bir hizmet, çekmecedeki bir telefon ve eski kimlik bilgileri olan yedek bir dizüstü bilgisayar, hepsi aynı kişi olarak kimlik doğrulayabilir. Her birkaç saniyede bir başarısız olan döngüdür, günde bir kez başarısız olan ise genellikle unutan bir insandır. İkisi de aynı sayacı besler ve tuzak da budur.

Bakarken bir ret ile ulaşılamayan bir ağ geçidini ayırt edin. Bir zaman aşımı, ad çözümleme hatası veya kapalı bağlantı noktası normalde bir hata sayacını artırmaz; buna karşılık kötü kimlik bilgisi sonucu döndüren tamamlanmış bir kimlik doğrulama alışverişi artırır. İkisini karıştırmak yanlış düzeltmeyi üretir; çünkü biri istemcinin durdurulmasını, diğeri yolun onarılmasını gerektirir.

Yanıtı belirleyen üç koşul

Üç olgu bunu tek bir yanıta indirger. Birincisi, kaydın açık bir ret mi yoksa bir taşıma hatası mı gösterdiği. İkincisi, kimliğin cihazlar veya hizmetler arasında paylaşılıp paylaşılmadığı. Üçüncüsü, yeniden deneyen istemcinin sizin yönettiğiniz bir istemci mi yoksa başkasının kontrol ettiği bir istemci mi olduğu.

Kontrol ettiğiniz tek bir istemciden gelen açık bir ret, o istemciyi durdurmak, onaylı yoldan kilidi açmak ve tek bir bilinçli oturum açma yapmak anlamına gelir. Paylaşılan bir kimlik yanıtı kilidi açmaya değil sağlamaya iter; çünkü diğer cihaz yeniden bağlandığı anda döngü kaldığı yerden devam eder. Taşıma hataları, hesap korumasının hiç söz konusu olmadığı ağ katmanını işaret eder.

Bu dalların hiçbiri korumayı zayıflatmayı içermez. Kilit eşikleri ve hız sınırları vardır çünkü kesinti sırasında sizi sinirlendiren sinyal, parola tahmin girişimini yavaşlatan sinyalin ta kendisidir.

Kilidi açmadan önce göndereni durdurun

Kimlik doğrulamaya devam eden birimi veya bağlantıyı durdurun ve bunu yeniden başlatmaya dayanacak şekilde yapın. Hizmeti açılışta otomatik başlayacak şekilde ayarlanmışken istemciyi duraklatmak yeterli değildir.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Birkaç dakika bekleyin ve hata sayısının hareket etmeyi bıraktığını doğrulayın. O duraklama, doğru kaynağı bulduğunuzun kanıtıdır. Hatalar devam ederse döngü başka bir yerden geliyordur ve kilidi açma adımı boşa gider.

Ancak ondan sonra operatörün belgelenmiş kilit açma veya kurtarma sürecini kullanın ve bunu elinizde tutmayı planladığınız cihazdan tam olarak bir kontrollü oturum açmayla izleyin. Kesin eşikler, bekleme süreleri ve kurtarma ifadeleri hizmete özgüdür; bu yüzden bir sayı tahmin etmek yerine bunları okuyun.

Nedenini ortadan kaldırın ki geri dönmesin

Kaydedilmiş kimlik bilgisini sahibi olduğu yerde güncelleyin: işletim sistemi anahtarlığı, istemci profili veya hizmet hesabı yapılandırması. Bir yerden temizlerken başka bir yerin kopya tutması, döngünün bir hafta sonra geri dönmesinin yoludur; genellikle çevrimdışı olan bir dizüstü bilgisayar geri geldiğinde ve önbelleğe aldığı değeri yeniden oynattığında.

Otomasyona kendi kimliğini verin. Kendi kimlik bilgisi ve kendi sınırları olan ayrı olarak sağlanmış bir hesap, bir makine arızasının bir kişiyi e-postadan kilitlemesini önler ve arızayı günlüklerde ilişkilendirilebilir kılar. İstemciye bir geri çekilme ekleyin, böylece reddedilen bir kimlik bilgisi yeniden denemeleri tekrarlamak yerine durdurur; ve yinelenen kimlik doğrulama hatalarında alarm kurun ki bir sonraki döngü 02:40'ta değil dakikalar içinde fark edilsin.

Rapor desteğe gittiğinde hesap tanımlayıcısını, zaman damgalarını ve istemci adını saklayın. Parolalar ve kurtarma malzemesi asla o kayda ait olmamalıdır.