Vì sao lần kết nối lại VPN yêu cầu thông tin xác thực lần nữa

Một đường hầm chạy hàng giờ yêu cầu mật khẩu đúng lúc máy tính xách tay thức dậy, và không có gì trong cấu hình thay đổi. Thứ đã thay đổi là trạng thái của thông tin xác thực mà lần kết nối lại cố dùng lại. Ba loại vật liệu chi phối điều này, và chỉ một loại sống sót qua khoảng trống bất kỳ.

Hãy đọc xem máy khách đã yêu cầu loại nào, vì cả ba hết hạn theo đồng hồ khác nhau và thất bại với thông báo khác nhau.

Ba loại vật liệu có thể dùng lại

Mật khẩu được lưu trong bộ nhớ đệm là bí mật do máy khách giữ, và nó còn hiệu lực cho đến khi tài khoản đổi mật khẩu. Token phiên do máy chủ cấp sau khi đăng nhập thành công, mang thời hạn riêng và có thể bị thu hồi bất cứ lúc nào. Vé phiên TLS hoặc một liên kết bảo mật IKE là trạng thái giao thức, rẻ để tiếp tục và hoàn toàn độc lập với mật khẩu của bạn. Mỗi loại do một thành phần khác cấp, và mỗi loại hết hạn theo điều kiện riêng.

Loại đầu sống sót qua lần khởi động lại, loại thứ hai thường sống sót qua chế độ ngủ, còn loại thứ ba có thể không sống sót qua việc đổi mạng. Nhầm lẫn chúng tạo ra cách sửa sai, ví dụ đặt lại mật khẩu chưa từng bị từ chối.

Bản thân lời nhắc chính là chẩn đoán. Cửa sổ trình duyệt hoặc mã yếu tố thứ hai nghĩa là máy chủ yêu cầu xác thực tương tác, trong khi thất bại im lặng không có lời nhắc nghĩa là máy khách chưa đi đủ xa để được hỏi.

Gia hạn khóa không phải xác thực lại

Gia hạn khóa thay khóa trong khi giữ nguyên danh tính đã xác thực, đó là lý do nó diễn ra âm thầm định kỳ trên một đường hầm khỏe mạnh. Xác thực lại lặp lại chính việc kiểm tra danh tính, và đó là sự kiện cần bạn. IKEv2 tách biệt hai việc này một cách rõ ràng, và đối tác có thể yêu cầu xác thực lại toàn bộ theo khoảng thời gian đã đặt bất kể đã có bao nhiêu lần gia hạn khóa ở giữa. Hai sự kiện trông giống nhau từ bên ngoài cho đến khi bạn đọc xem nhật ký gọi tên sự kiện nào.

OpenVPN cũng hành xử như vậy trong từ vựng của nó: khoảng thương lượng lại làm mới kênh dữ liệu, và token xác thực có thể được trả lại cho máy khách để tránh đăng nhập đầy đủ ở kết nối tiếp theo. Token đó có thời hạn, và máy chủ quyết định có chấp nhận lại hay không.

Vì vậy kết nối lại sau tám giờ có thể thất bại ở nơi kết nối lại sau tám phút đã thành công, mà không có thay đổi cấu hình nào ở cả hai bên. Đó là toàn bộ lời giải thích cho một lời nhắc chỉ xuất hiện sau bữa trưa.

Khi máy khách không thể hoàn thành thử thách mới

Chính sách yêu cầu một bước trong trình duyệt sẽ thất bại trên máy khách không có cách hiển thị bước đó. Máy chủ không giao diện, tập lệnh khởi động và hồ sơ cũ được xây cho xác thực chỉ bằng mật khẩu đều đụng bức tường đó, và thất bại thường hiện ra như hết thời gian chờ chung thay vì lỗi xác thực.

Chuyển đổi thiết bị và mạng cũng có thể rơi vào cửa sổ đánh giá chính sách, nên việc chuyển từ Wi-Fi sang điểm truy cập trùng với một kiểm tra dù sao cũng sẽ diễn ra. Sự trùng hợp khiến mạng trông có lỗi trong khi nguyên nhân là bộ đếm thời gian.

openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth"
ipsec statusall | grep -i -E "rekey|reauth"

Dòng đầu hiển thị các sự kiện thương lượng lại và xác thực trong nhật ký của chính máy khách, dòng thứ hai hiển thị các liên kết bảo mật mà đối tác strongSwan đang giữ. Hãy so sánh dấu thời gian với thời điểm lời nhắc xuất hiện; sự khớp xác nhận bộ đếm thời gian chứ không phải mạng.

Cần báo cáo gì và không nên tắt gì

Nếu đăng nhập thủ công thành công còn việc dùng lại tự động thất bại liên tục, hãy nói chính xác điều đó với người vận hành. Điều đó gọi tên thành phần: đường dùng lại, không phải thông tin xác thực. Kèm theo thời điểm thất bại, tài khoản đang dùng và loại lời nhắc bạn đã thấy.

Không tắt yếu tố thứ hai, không bỏ qua kiểm tra chứng chỉ và không dán thông tin xác thực vào tập lệnh để làm lần kết nối lại im lặng. Mỗi việc đó loại bỏ kiểm tra mà chính sách tồn tại để thực thi, và mỗi việc biến một lời nhắc đăng nhập thành sự cố.

Thay vào đó hãy yêu cầu luồng được hỗ trợ: máy khách có thể hoàn thành thử thách, thời hạn token phù hợp với ngày làm việc, hoặc hồ sơ không tương tác đã được phê duyệt cho máy không thể hỏi. Tất cả đều là quyết định cấu hình mà ai đó có thể phê duyệt, điều mà một giải pháp lách không phải.