認証失敗の大量発生アラート
認証失敗の大量発生アラートは、短期間に多くのクライアント認証試行が失敗したことを示します。以下の条件でアラートが発生します。
- 警告：過去30分間に少なくとも1,800回の認証試行があり、そのうち50％以上が失敗している場合
- エラー：過去30分間に少なくとも1,800回の認証試行があり、そのうち75％以上が失敗している場合
この状態は通常、正常なクライアントの接続を妨げる異常なクライアント認証活動を示します。主な原因としては、誤ったクライアント認証設定、期限切れまたは無効な認証情報、不正な接続試行、および認証サービスの異常が挙げられます。
誤ったクライアント認証設定
症状
短期間に多くのクライアントが認証に失敗し、その失敗が特定のクライアントID、ユーザー名、または送信元IPアドレスに強く関連している場合。
主な原因
- クライアントが誤ったユーザー名、パスワード、またはトークンを使用している。
- 大規模なデバイスアップグレードや一括設定更新時に誤った認証設定が配布された。
解決策
- クライアントのユーザー名、パスワード、トークンがサーバー側の設定と一致しているか確認する。
- 一括デバイスアップグレードや設定展開の前に、テスト環境で認証設定を検証する。
不正なクライアント接続試行
症状
短期間に多くの認証試行が失敗するが、正規のビジネスクライアントからのものではない場合。
認証失敗ログにおいて、少数の見慣れないIPアドレスにリクエストが集中しているか、新規接続数が急増している一方で認証成功率が非常に低い場合。
主な原因
- 悪意のあるスキャンやブルートフォース攻撃。
- 無効な認証情報による繰り返しの接続試行。
解決策
- 疑わしいIPレンジをブロックリストに追加する。
- EMQXが提供する接続および認証保護機能を利用して異常な接続動作を制限する。
- EMQXはデフォルトで同一クライアントIDに対する再接続率制限を有効にしており、ブルートフォース攻撃の防止に役立ちます。詳細はExpiration Timeを参照してください。
認証サービスの障害
症状
HTTPエンドポイントやデータベースなどの外部認証サービスでレイテンシ、タイムアウト、障害が発生すると、正規のクライアントの認証も失敗することがあります。
認証失敗の増加が外部認証サービスのエラー率やレイテンシの上昇と一致する場合、そのサービスが原因である可能性が高いです。
主な原因
- 外部認証サービスが利用不可、または異常なレスポンスを返している。
- 認証サービスが過負荷状態にあり、リクエストがタイムアウトまたは失敗している。
解決策
- 外部認証サービスの状態とパフォーマンス指標を確認し、タイムアウトやエラーを調査する。
- 一時的なサービス不安定の影響を軽減するため、適切なリトライやキャッシュ戦略を導入する。
- 認証サービスのインスタンスを追加し、可用性と処理能力を向上させる。
トラブルシューティング
EMQX Cloudコンソールにログインし、対象のデプロイメントに入る。
Deployment Logsを開き、Error TypeをAuthenticationに設定して認証失敗のログを確認し、原因を特定する。
Alertsを開き、認証関連のアラートを確認する。アラートの発生時刻と認証失敗のタイミングを比較する。
クライアントの送信元、認証設定、外部認証サービスの状態をもとに、原因がクライアント設定ミス、不正アクセス試行、またはサービス障害のどれかを判断する。
影響
- 通常、このアラートが発生してもデプロイメントは停止しません。
- 失敗率が閾値を超え続ける場合、クライアント接続設定や認証サービスの問題により正規アクセスが妨げられる可能性があります。
- 影響を受けるクライアント、接続動作、認証サービスを速やかに調査し、問題の拡大を防いでください。