VPN qayta urinish sikli sabab bloklandi: avval mijozni to'xtating

Soat 02:40 da hisob bloklanadi va klaviatura oldida hech kim yo'q. Tokchadagi mijoz o'tgan oy saqlab qo'ygan parolni qayta-qayta taqdim etadi, shlyuz uni rad etishda davom etadi va bloklanish ortidagi hisoblagich odam ishtirokisiz o'sib boradi. Bu hujum emas, qayta urinish sikli va hisobni tiklashdan oldin uni to'xtatish kerak.

Buni qat'iy tartibdagi ikki muammo deb qabul qiling. Avval yuboruvchini to'xtating, keyin kirishni tiklang, chunki teskari yo'l bilan bir necha daqiqada sikl qaytadan boshlanadi.

Xatoliklarni qaysi jarayon yuborayotganini aniqlang

Identifikatsiya tizimidagi vaqt belgilaridan boshlang va ularni hisobga ega bo'lgan har bir mijoz bilan solishtiring. Boshqariladigan profil, qo'riqchisiz xizmat, tortmachadagi telefon va eski hisob ma'lumotlariga ega zaxira noutbuk — barchasi bir xil shaxs sifatida autentifikatsiyadan o'tishi mumkin. Har bir necha soniyada xato beradigani sikl, kuniga bir marta xato beradigani esa odatda parolni unutgan odam. Ikkisi ham bitta hisoblagichni oshiradi — tuzoq ham shunda.

Tekshirayotganda rad etishni shlyuzga yetib borolmaslikdan ajrating. Kutish vaqti tugashi, nomni aniqlash xatosi yoki yopiq port odatda xatolik hisoblagichini oshirmaydi, tugallangan autentifikatsiya almashinuvi esa noto'g'ri hisob ma'lumoti natijasini qaytarsa oshiradi. Ikkalasini aralashtirish noto'g'ri yechimga olib keladi, chunki biriga mijozni to'xtatish, ikkinchisiga yo'lni tuzatish kerak.

Javobni belgilaydigan uchta shart

Uch fakt buni bitta javobga toraytiradi. Birinchisi, yozuvda aniq rad etish yoki transport xatosi ko'rsatilganmi. Ikkinchisi, identifikatsiya bir nechta qurilma yoki xizmat o'rtasida umumiy yoki yo'qligi. Uchinchisi, qayta urinayotgan mijoz siz boshqaradigan yoki boshqa birov nazorat qiladigan mijoz ekanligi.

Siz boshqaradigan yagona mijozdan kelgan aniq rad etish — o'sha mijozni to'xtatish, tasdiqlangan yo'l orqali blokdan chiqarish va ataylab bir marta kirish demakdir. Umumiy identifikatsiya javobni blokdan chiqarishdan ko'ra qayta taqdim etishga suradi, chunki boshqa qurilma qayta ulanishi bilan sikl davom etadi. Transport xatolari tarmoq qatlamiga ishora qiladi, u yerda hisobni himoyalash umuman muammo emas.

Bu tarmoqlarning hech biri himoyani zaiflashtirishni o'z ichiga olmaydi. Bloklanish chegaralari va tezlik limitlari mavjud, chunki uzilish paytida sizni bezovta qiladigan signal parolni taxmin qilish urinishini sekinlashtiradigan signalning o'zi.

Blokdan chiqarishdan oldin yuboruvchini to'xtating

Autentifikatsiyadan o'tishda davom etayotgan blok yoki ulanishni to'xtating va uni qayta yuklashdan keyin ham saqlanadigan tarzda to'xtating. Xizmati yuklanishda avtomatik ishga tushadigan bo'lsa, mijozni pauza qilish yetarli emas.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Bir necha daqiqa kuting va xatoliklar soni o'sishdan to'xtaganiga ishonch hosil qiling. O'sha pauza to'g'ri manbani topganingizning isboti. Agar xatoliklar davom etsa, sikl boshqa joydan kelayapti va blokdan chiqarish bosqichi behuda ketadi.

Shundan keyingina operatorning hujjatlashtirilgan blokdan chiqarish yoki tiklash tartibini qo'llang va undan so'ng saqlab qolmoqchi bo'lgan qurilmadan aynan bir marta nazorat ostida kirishni amalga oshiring. Aniq chegaralar, sovutish davrlari va tiklash tartibining tahriri xizmatga xos, shuning uchun raqamni taxmin qilish o'rniga ularni o'qing.

Sababni yo'q qiling, qaytib kelmasin

Saqlangan hisob ma'lumotini u haqiqatan tegishli bo'lgan joyda yangilang: operatsion tizimning kalit halqasi, mijoz profili yoki xizmat hisobining konfiguratsiyasi. Bir joydan o'chirib, boshqa joyda nusxasini qoldirish — sikl bir haftadan keyin qaytishining yo'li; odatda uzoq vaqt tarmoqqa ulanmagan noutbuk qaytib, keshlangan qiymatini qayta yuborganda.

Avtomatlashtirishga o'z identifikatsiyasini bering. O'z hisob ma'lumoti va o'z limitlariga ega alohida taqdim etilgan hisob mashina nosozligi odamni pochta qutisidan bloklab qo'yishining oldini oladi va nosozlikni jurnallarda bog'lash imkonini beradi. Mijozga orqaga chekinish qo'shing, shunda rad etilgan hisob ma'lumoti qayta urinishlarni takrorlash o'rniga to'xtatadi, va takroriy autentifikatsiya xatolari haqida ogohlantirish sozlang, shunda keyingi sikl 02:40 da emas, bir necha daqiqada seziladi.

Hisobot qo'llab-quvvatlash xizmatiga yuborilganda hisob identifikatorini, vaqt belgilarini va mijoz nomini saqlang. Parollar va tiklash materiallari hech qachon bu yozuvga tegishli emas.