VPN qayta ulanganda hisob ma'lumotlari nega yana so'raladi
Saqlangan parol va qayta ishlatiladigan token turli jadvallar bo'yicha tugaydi. Mijozda biror narsani o'zgartirishdan oldin qayta ulanish qanday material so'raganini o'qing.
Soatlab ishlagan tunnel noutbuk uyg'ongan paytda parol so'raydi va konfiguratsiyada hech narsa o'zgarmagan. O'zgargan narsa — qayta ulanish qayta ishlatmoqchi bo'lgan hisob ma'lumotining holati. Buni materialning uch turi boshqaradi va ulardan faqat bittasi har qanday tanaffusdan omon qoladi.
Mijoz qaysinisini so'raganini o'qing, chunki uchtasi turli soatlar bo'yicha tugaydi va turli xabarlar bilan muvaffaqiyatsiz bo'ladi.
Qayta ishlatiladigan materialning uch turi
Keshdagi parol — mijoz saqlaydigan sir bo'lib, hisob uni o'zgartirmaguncha amal qiladi. Sessiya tokenini server muvaffaqiyatli kirishdan keyin beradi, uning o'z umri bor va istalgan paytda bekor qilinishi mumkin. TLS sessiya bileti yoki IKE xavfsizlik assotsiatsiyasi — protokol holati, davom ettirish arzon va parolingizdan butunlay mustaqil. Har birini alohida komponent beradi va har biri o'z shartlari bilan tugaydi.
Birinchisi qayta yuklashdan omon qoladi, ikkinchisi odatda uyqudan omon qoladi, uchinchisi esa tarmoq o'zgarishidan umuman omon qolmasligi mumkin. Ularni aralashtirish noto'g'ri yechim beradi, masalan, hech qachon rad etilmagan parolni tiklash.
So'rovning o'zi tashxis. Brauzer oynasi yoki ikkinchi omil kodi server interaktiv autentifikatsiyani talab qilganini bildiradi, so'rovsiz jim muvaffaqiyatsizlik esa mijoz so'raladigan darajaga yetmaganini bildiradi.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Kalitlarni yangilash qayta autentifikatsiya emas
Kalitlarni yangilash autentifikatsiya qilingan shaxsni saqlab, kalitlarni almashtiradi, shuning uchun sog'lom tunnelda vaqti-vaqti bilan jimgina sodir bo'ladi. Qayta autentifikatsiya shaxs tekshiruvini o'zini takrorlaydi va sizga aynan shu hodisa kerak. IKEv2 ikkalasini aniq ajratadi va hamkor orasida qancha kalit yangilanishi bo'lganidan qat'i nazar, belgilangan intervalda to'liq qayta autentifikatsiyani talab qilishi mumkin. Ikki hodisa jurnal qaysinisini nomlashini o'qimaguningizcha tashqaridan bir xil ko'rinadi.
OpenVPN o'z lug'atida xuddi shunday yo'l tutadi: qayta muzokara intervali ma'lumot kanalini yangilaydi va keyingi ulanishda to'liq kirishdan qochish uchun autentifikatsiya tokeni mijozga qaytarilishi mumkin. Bu tokenning umri bor va server uni yana qabul qilish-qilmaslikni hal qiladi.
Shuning uchun sakkiz soatdan keyingi qayta ulanish sakkiz daqiqadan keyingi qayta ulanish muvaffaqiyatli bo'lgan joyda muvaffaqiyatsiz bo'lishi mumkin, ikkala tomonda ham hech qanday konfiguratsiya o'zgarishisiz. Tushlikdan keyingina paydo bo'ladigan so'rovning to'liq izohi shu.
Mijoz yangi chaqiriqni bajara olmaganida
Brauzer qadamini talab qiladigan siyosat uni ko'rsatish yo'li yo'q mijozda muvaffaqiyatsiz bo'ladi. Boshsiz serverlar, ishga tushirish skriptlari va faqat parol bilan autentifikatsiya uchun qurilgan eski profillar shu devorga uriladi va muvaffaqiyatsizlik ko'pincha autentifikatsiya xatosi emas, umumiy vaqt tugashi sifatida ko'rinadi.
Qurilma va tarmoq o'tishlari ham siyosatni baholash oynasiga tushishi mumkin, shuning uchun Wi-Fi'dan hotspotga o'tish baribir bo'ladigan tekshiruv bilan mos keladi. Bu tasodif sabab taymer bo'lganda tarmoqni aybdor ko'rsatadi.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Birinchi satr mijozning o'z jurnalida qayta muzokara va autentifikatsiya hodisalarini, ikkinchisi esa strongSwan hamkori hozir tutgan xavfsizlik assotsiatsiyalarini ko'rsatadi. Vaqt belgilarini so'rov paydo bo'lgan lahza bilan solishtiring; mos kelish tarmoqni emas, taymerni tasdiqlaydi.
Nimani xabar qilish va nimani o'chirmaslik kerak
Agar qo'lda kirish muvaffaqiyatli bo'lsa-yu, avtomatik qayta ishlatish doimiy ravishda muvaffaqiyatsiz bo'lsa, operatorga aynan shuni ayting. Bu komponentni nomlaydi: qayta ishlatish yo'li, hisob ma'lumoti emas. Muvaffaqiyatsizlik vaqtini, ishlatilayotgan hisobni va ko'rgan so'rov turini qo'shing.
Qayta ulanishni jim qilish uchun ikkinchi omilni o'chirmang, sertifikat tekshiruvini o'tkazib yubormang va hisob ma'lumotlarini skriptga yopishtirmang. Ularning har biri siyosat bajarishi uchun mavjud bo'lgan tekshiruvni olib tashlaydi va har biri kirish so'rovini hodisaga aylantiradi.
Buning o'rniga qo'llab-quvvatlanadigan oqimni so'rang: chaqiriqni yakunlay oladigan mijoz, ish kuniga mos token umri yoki so'ra olmaydigan mashina uchun tasdiqlangan interaktiv bo'lmagan profil. Bularning barchasi kimdir tasdiqlashi mumkin bo'lgan konfiguratsiya qarorlari, vaqtinchalik yechim esa emas.