OpenVPN bir OTP oturumunu sonradan düşürür: yeniden kimlik doğrulama neyi gerektirir

İstemci tarafından bakıldığında, çalışan bir oturumun bir saati dolduğunda rastgele bir kopma gibi görünür. Tepsi simgesi kaybolur, tünel yeniden kurulur ve günlük ağ hatası yerine kimlik doğrulama hatası gösterir. Gerçekte olan, oturumun yeniden müzakere etmesi ve ikinci el sıkışmanın istemcinin artık geçerli bir kopyasını bulundurmadığı kimlik bilgilerini istemesidir. Oturum açmada işleyen tek kullanımlık bir kod ikinci kez işleyemez, bu yüzden anahtar yenilemesi tam olarak tasarlandığı gibi başarısız olur.

Çözüm, ikinci el sıkışmanın neyi sunması gerektiğine dair bir karardır, daha uzun bir yeniden deneme zamanlayıcısı değil.

Alışverişi istemci gözünden izleyin

Oturum açmada istemci kullanıcı adını, parolayı ve token cihazından bir kodu gönderir ve sunucu bu birleşimi kabul eder. Sonra oturum, yeniden müzakere tetikleyicisi çalışana kadar sürer; tetikleyici mevcut tünelin içinde yeni bir TLS el sıkışması başlatır. Bu el sıkışma yeniden kimlik doğrulama ister. Sunucunun kimlik doğrulama yolu bir parola artı güncel bir tek kullanımlık kod bekliyorsa, kullanıcı orada olup yazmadıkça istemcinin sunacak yeni bir kodu yoktur.

İstemcilerin çoğu oturum ortasında bir istem açmaz, bu yüzden el sıkışma zaman aşımına uğrar ve tünel düşer. Kullanıcı kimlik doğrulama istemi değil yeniden bağlanma görür; ilk raporun genellikle ağı suçlaması bu yüzdendir.

auth-gen-token ikinci soruyu kimin yanıtladığını değiştirir

Seçenek auth-gen-token sunucunun başarılı bir oturum açmadan sonra token vermesini sağlar ve sonraki yeniden müzakereler parola ile kodu tekrarlamak yerine o tokeni sunar. Kılavuz ömrünü ve yenileme davranışını belgeler ve token kendi son kullanma tarihi olan bir kimlik bilgisi olarak ele alınmalıdır. Varsayılan yolda sunucu harici parola doğrulayıcısını yeniden çağırmak yerine tokeni kendisi doğrular.

Harici bir kimlik doğrulama entegrasyonuyla bu bölünme değişir. Eklenti tokenin durumunu anlamalı ve kendi kontrollerini uygulamalıdır, çünkü oturumun sürüp sürmeyeceğine karar veren tek bileşen artık sunucu değildir. Tokeni bir başka sayısal tek kullanımlık kod olarak ele almak bu özelliğin uygulaması değildir.

Hesap durumuna ne olacağına karar verin

Bir hesabın erişiminden daha uzun yaşayan token bir politika deliğidir. Devre dışı bırakılmış bir hesabın, kaldırılmış bir grup üyeliğinin veya iptal edilmiş bir cihazın token hâlâ geçerliyken nasıl etki edeceğine karar verin. Kısa token ömürleri pencereyi küçültür; açık bir iptal yolu bunu bilinçli kılar. Seçeneği etkinleştirmeden önce yanıtı yazın, çünkü varsayılan yol her yeniden müzakerede harici doğrulayıcıya danışmaz.

Çok sunuculu bir kurulumda token imzalama sırrı paylaşılmalıdır, yoksa istemci tokenini doğrulayamayan bir düğüme gönderilebilir.

Yalnızca oturum açmayı değil, son kullanmayı ve yeniden bağlanmayı test edin

İkinci el sıkışma siz izlerken olsun diye bir test profilinde yeniden müzakere aralığını düşürün, sonra iki günlüğü de izleyin. Tokenin oturum açmada verildiğini, anahtar yenilemede sunulduğunu ve yapılandırılmış ömre göre yenilendiğini veya yeniden verildiğini doğrulayın. Ardından token süresinin dolmasını ve tam bir yeniden bağlanmayı zorlayın, çünkü temiz biçimde yeniden bağlanan bir istemci bile anahtar yenileme yolunda başarısız olabilir.

Hesap kaldırmayı en son test edin. O durum, yazdığınız politikanın uygulandığını mı yoksa yalnızca belgelendiğini mi söyler.

Yenilemeyi kapatarak düzeltmeyin

Yeniden müzakere aralığını her iki uçta sıfıra ayarlamak belirtiyi ve onunla birlikte anahtar döndürmeyi ortadan kaldırır. Bu, kimsenin gözden geçirmediği bir politika değişikliğinin arkasına kimlik bilgisi yeniden oynatma sorununu saklar. Yenilemeyi koruyun ve bir kullanıcının orada olup olmadığına göre sunucunun verdiği token ile yeni etkileşimli meydan okuma arasında seçim yapın.

Daha uzun bir yeniden deneme zamanlayıcısı harcanmış bir kodu yeniden geçerli kılmaz. Yalnızca kopmayı geciktirir ve günlüğü okumayı zorlaştırır.