VPN کی دوبارہ کوششوں کے چکر سے اکاؤنٹ لاک: پہلے کلائنٹ روکیں

02:40 بجے اکاؤنٹ لاک ہو جاتا ہے اور کی بورڈ پر کوئی نہیں ہوتا۔ شیلف پر رکھا ایک کلائنٹ وہ پاس ورڈ پیش کرتا رہتا ہے جو اس نے گزشتہ ماہ محفوظ کیا تھا، گیٹ وے اسے مسترد کرتا رہتا ہے، اور لاک آؤٹ کے پیچھے کا کاؤنٹر کسی انسان کے شامل ہوئے بغیر بڑھتا جاتا ہے۔ یہ حملہ نہیں بلکہ دوبارہ کوششوں کا چکر ہے، اور اکاؤنٹ کی بحالی سے پہلے اسے روکنا ضروری ہے۔

اسے ایک مقررہ ترتیب میں دو مسائل سمجھیں۔ پہلے بھیجنے والے کو روکیں، پھر رسائی بحال کریں، کیونکہ اُلٹا کرنے سے چکر چند منٹوں میں دوبارہ شروع ہو جائے گا۔

پتہ لگائیں کہ کون سا عمل ناکامیاں بھیج رہا ہے

شناخت کے نظام میں موجود وقت کے نشانات سے شروع کریں اور انہیں ہر اس کلائنٹ سے ملائیں جو اکاؤنٹ رکھتا ہے۔ ایک منظم پروفائل، بغیر نگرانی کی سروس، دراز میں رکھا فون اور پرانے اسناد والا فالتو لیپ ٹاپ، سب ایک ہی شخص کے طور پر تصدیق کر سکتے ہیں۔ جو ہر چند سیکنڈ بعد ناکام ہوتا ہے وہ چکر ہے، اور جو دن میں ایک بار ناکام ہوتا ہے وہ عام طور پر بھولنے والا انسان ہے۔ دونوں ایک ہی کاؤنٹر کو بھرتے ہیں، اور یہی جال ہے۔

دیکھتے ہوئے مسترد ہونے اور ناقابل رسائی گیٹ وے میں فرق کریں۔ ٹائم آؤٹ، نام حل کرنے کی ناکامی یا بند پورٹ عام طور پر ناکامی کے کاؤنٹر میں اضافہ نہیں کرتے، جبکہ مکمل ہونے والا تصدیقی تبادلہ جو غلط اسناد کا نتیجہ واپس کرے، اضافہ کرتا ہے۔ دونوں کو ملانا غلط حل پیدا کرتا ہے، کیونکہ ایک میں کلائنٹ روکنے کی ضرورت ہے اور دوسرے میں راستہ ٹھیک کرنے کی۔

تین شرطیں جو ردِعمل کا فیصلہ کرتی ہیں

تین حقائق اسے ایک جواب تک محدود کر دیتے ہیں۔ پہلا، کہ ریکارڈ واضح مسترد ہونا دکھاتا ہے یا ترسیلی ناکامی۔ دوسرا، کہ شناخت آلات یا سروسز میں مشترک ہے یا نہیں۔ تیسرا، کہ دوبارہ کوشش کرنے والا کلائنٹ آپ کے زیرِ انتظام ہے یا کسی اور کے قابو میں۔

آپ کے قابو میں موجود ایک کلائنٹ سے واضح مسترد ہونا یعنی اس کلائنٹ کو روکیں، منظور شدہ راستے سے لاک کھولیں اور صرف ایک سوچا سمجھا لاگ ان کریں۔ مشترک شناخت جواب کو لاک کھولنے کی بجائے فراہمی کی طرف دھکیلتی ہے، کیونکہ دوسرا آلہ دوبارہ جڑتے ہی چکر پھر شروع ہو جائے گا۔ ترسیلی ناکامیاں نیٹ ورک کی پرت کی طرف اشارہ کرتی ہیں، جہاں اکاؤنٹ کا تحفظ بنیادی مسئلہ ہی نہیں۔

ان میں سے کوئی شاخ تحفظ کمزور کرنے پر مشتمل نہیں ہے۔ لاک آؤٹ کی حدیں اور رفتار کی قیودیں اسی لیے ہیں کہ جو اشارہ بندش کے دوران آپ کو پریشان کرتا ہے وہی اشارہ پاس ورڈ اندازہ لگانے کی کوشش کو سست کرتا ہے۔

لاک کھولنے سے پہلے بھیجنے والے کو روکیں

اس یونٹ یا کنکشن کو روکیں جو تصدیق کرتا رہتا ہے، اور اسے ایسے روکیں کہ دوبارہ بوٹ ہونے پر بھی رکا رہے۔ کلائنٹ کو عارضی طور پر روک دینا کافی نہیں جب اس کی سروس بوٹ پر خودکار طور پر شروع ہونے کے لیے مقرر ہو۔

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

چند منٹ انتظار کریں اور تصدیق کریں کہ ناکامیوں کی تعداد بڑھنا بند ہو گئی ہے۔ یہ وقفہ اس بات کا ثبوت ہے کہ آپ نے درست ماخذ ڈھونڈ لیا ہے۔ اگر ناکامیاں جاری رہیں تو چکر کسی اور جگہ سے آ رہا ہے اور لاک کھولنے کا مرحلہ ضائع ہو جائے گا۔

صرف اس کے بعد آپریٹر کا دستاویزی لاک کھولنے یا بحالی کا عمل استعمال کریں، اور اسے بالکل ایک کنٹرول شدہ لاگ ان کے ساتھ اُس آلے سے مکمل کریں جسے آپ رکھنا چاہتے ہیں۔ درست حدیں، ٹھہرنے کی مدتیں اور بحالی کے الفاظ سروس کے لحاظ سے مختلف ہیں، اس لیے کسی عدد کا اندازہ لگانے کے بجائے انہیں پڑھیں۔

وجہ دور کریں تاکہ یہ واپس نہ آئے

محفوظ شدہ اسناد کو وہیں اپ ڈیٹ کریں جہاں وہ موجود ہیں: آپریٹنگ سسٹم کی کی رنگ، کلائنٹ پروفائل، یا سروس اکاؤنٹ کی ترتیب۔ ایک جگہ سے صاف کرنا جبکہ دوسری جگہ نقل رکھی ہو، یہی وجہ ہے کہ چکر ایک ہفتے بعد واپس آتا ہے، عام طور پر جب آف لائن لیپ ٹاپ واپس آ کر اپنی محفوظ شدہ قدر دوبارہ چلا دیتا ہے۔

خودکاری کو اپنی الگ شناخت دیں۔ اپنی اسناد اور اپنی حدوں والا الگ فراہم کردہ اکاؤنٹ مشین کی ناکامی کو کسی شخص کے ای میل سے بند ہونے سے روکتا ہے، اور ناکامی کو لاگز میں منسوب کرنے کے قابل بناتا ہے۔ کلائنٹ میں وقفہ شامل کریں تاکہ مسترد شدہ اسناد دوبارہ کوششوں کو دہرانے کے بجائے روک دیں، اور بار بار تصدیق کی ناکامی پر الارم لگائیں تاکہ اگلا چکر 02:40 پر نہیں بلکہ چند منٹوں میں نظر آ جائے۔

جب رپورٹ سپورٹ کو جائے تو اکاؤنٹ کا شناختی نشان، وقت کے نشانات اور کلائنٹ کا نام محفوظ رکھیں۔ پاس ورڈ اور بحالی کا مواد کبھی اس ریکارڈ میں شامل نہیں ہونا چاہیے۔