VPN Yeniden Bağlandığında Neden Tekrar Kimlik Bilgisi İster

Saatlerce çalışan bir tünel, dizüstü bilgisayar uyandığı anda parola ister ve yapılandırmada hiçbir şey değişmemiştir. Değişen şey, yeniden bağlanmanın yeniden kullanmaya çalıştığı kimlik bilgisinin durumudur. Bunu üç tür malzeme yönetir ve yalnızca biri herhangi bir boşluğu atlatır.

İstemcinin hangisini istediğini okuyun, çünkü üçü farklı saatlerle sona erer ve farklı iletilerle başarısız olur.

Yeniden kullanılabilir üç tür malzeme

Önbelleğe alınmış parola, istemcinin tuttuğu bir sırdır ve hesap onu değiştirene kadar geçerli kalır. Oturum belirteci, başarılı bir oturum açmanın ardından sunucu tarafından verilir, kendi ömrünü taşır ve her an iptal edilebilir. Bir TLS oturum bileti veya bir IKE güvenlik ilişkisi protokol durumudur, sürdürmesi ucuzdur ve parolanızdan tamamen bağımsızdır. Her biri farklı bir bileşen tarafından verilir ve her biri kendi koşullarında sona erer.

Birincisi yeniden başlatmayı atlatır, ikincisi genellikle askıya almayı atlatır, üçüncüsü ise ağ değişikliğini hiç atlatmayabilir. Bunları karıştırmak yanlış düzeltmeye yol açar, örneğin hiç reddedilmemiş bir parolayı sıfırlamak gibi.

İstemin kendisi tanıdır. Bir tarayıcı penceresi veya ikinci faktör kodu, sunucunun etkileşimli kimlik doğrulama istediği anlamına gelir; istem olmadan sessiz bir başarısızlık ise istemcinin sorulacak kadar ileri gitmediği anlamına gelir.

Anahtar yenileme yeniden kimlik doğrulama değildir

Anahtar yenileme, kimliği doğrulanmış kimliği koruyarak anahtarları değiştirir; bu yüzden sağlıklı bir tünelde ara sıra sessizce gerçekleşir. Yeniden kimlik doğrulama, kimlik denetiminin kendisini yineler ve size ihtiyaç duyan olay budur. IKEv2 ikisini açıkça ayırır ve eş, arada kaç anahtar yenilemesi olursa olsun belirlenen aralıkta tam bir yeniden kimlik doğrulama isteyebilir. İki olay, günlüğün hangisini adlandırdığını okuyana kadar dışarıdan aynı görünür.

OpenVPN kendi sözlüğünde aynı şekilde davranır: bir yeniden müzakere aralığı veri kanalını tazeler ve bir kimlik doğrulama belirteci, sonraki bağlantıda tam oturum açmadan kaçınmak için istemciye geri verilebilir. Bu belirtecin bir ömrü vardır ve sunucu yeniden kabul edip etmeyeceğine karar verir.

Böylece sekiz saat sonraki yeniden bağlanma, sekiz dakika sonraki yeniden bağlanmanın başarılı olduğu yerde başarısız olabilir; her iki tarafta da hiçbir yapılandırma değişikliği olmadan. Öğle yemeğinden sonra ortaya çıkan bir istemin tüm açıklaması budur.

İstemci yeni meydan okumayı tamamlayamadığında

Tarayıcı adımı isteyen bir ilke, bunu gösterecek yolu olmayan bir istemcide başarısız olur. Ekransız sunucular, başlangıç betikleri ve yalnızca parola ile kimlik doğrulama için oluşturulmuş eski profiller o duvara çarpar ve başarısızlık çoğu zaman kimlik doğrulama hatası yerine genel bir zaman aşımı olarak görünür.

Cihaz ve ağ geçişleri de bir ilke değerlendirme penceresine düşebilir, bu yüzden Wi-Fi'den erişim noktasına geçiş, zaten gerçekleşecek bir denetimle çakışır. Bu rastlantı, neden zamanlayıcıyken ağı suçlu gösterir.

openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth"
ipsec statusall | grep -i -E "rekey|reauth"

İlk satır istemcinin kendi günlüğündeki yeniden müzakere ve kimlik doğrulama olaylarını, ikincisi strongSwan eşinin şu anda tuttuğu güvenlik ilişkilerini gösterir. Zaman damgalarını istemin göründüğü anla karşılaştırın; eşleşme ağı değil zamanlayıcıyı doğrular.

Neyin bildirileceği ve neyin kapatılmayacağı

Elle oturum açma başarılı olurken otomatik yeniden kullanım sürekli başarısız oluyorsa bunu işletmeciye tam olarak söyleyin. Bu, bileşeni adlandırır: yeniden kullanım yolu, kimlik bilgisi değil. Başarısızlığın zamanını, kullanılan hesabı ve gördüğünüz istem türünü ekleyin.

Yeniden bağlanmayı sessiz yapmak için ikinci faktörü kapatmayın, sertifika doğrulamasını atlamayın ve kimlik bilgilerini bir betiğe yapıştırmayın. Bunların her biri, ilkenin uygulamak için var olduğu denetimi kaldırır ve her biri bir oturum açma istemini olaya dönüştürür.

Bunun yerine desteklenen akışı isteyin: meydan okumayı tamamlayabilen bir istemci, iş gününe uygun bir belirteç ömrü veya istem gösteremeyen makine için onaylanmış etkileşimsiz bir profil. Bunların hepsi birinin onaylayabileceği yapılandırma kararlarıdır; geçici bir çözüm değildir.