جهاز واحد لا يزال يفشل بعد إعادة تعيين كلمة مرور VPN
كلمة المرور الجديدة تعمل في كل مكان إلا لدى عميل واحد. اعثر على المخزن الذي لا يزال يحتفظ بالقيمة القديمة، وحدّ من المحاولات، وتحقق بمحاولة واحدة.
أعدت تعيين كلمة المرور، واختبرتها في البوابة، ومع ذلك لا يزال حاسوب محمول واحد عاجزًا عن الاتصال. الغريزة تدفع إلى إعادة تعيينها مرة أخرى، وهكذا يُقفل الحساب ويتحول سرّ قديم إلى حادثة. نادرًا ما يطلب عميل VPN كلمة المرور في كل مرة؛ بل يطلبها مرة واحدة ويخزّن الجواب في مكان لم تختره. العثور على ذلك المكان هو المهمة كلها، وهو أسرع من إعادة تعيين أخرى.
تأكد مما يرسله كل عميل فعليًا
تحقق من الحساب والنطاق والبوابة على العميل الذي يفشل قبل افتراض أن كلمة المرور هي المشكلة. قد يستخدم تسجيل الدخول إلى بوابة الويب نظام هوية مختلفًا عن VPN نفسه، لذا فإن نجاح تسجيل الدخول إلى البوابة لا يقول شيئًا عن مصادقة البروتوكول. بعض عمليات النشر تقبل بريدًا إلكترونيًا في البوابة واسم مستخدم مختلفًا في النفق. تأكد من أي هوية يُعدّ العميل لإظهارها قبل أن تعيد تعيين أي شيء.
اقرأ نص الخطأ وصنّفه. فشل الشهادة أو تحدٍ منتهٍ أو شيفرة غير مدعومة ليس كلمة مرور قديمة، ومعاملتها على هذا النحو تنتج حلقة إعادة تعيين بلا أثر. إذا كانت الخدمة تطبّق سياسة قفل الحساب، فتوقف بعد محاولتين أو ثلاث محاولات فاشلة وتأكد من حالة الحساب قبل المتابعة.
عدّد المخازن بدلًا من التخمين
تحتفظ أربعة مخازن بسرّ VPN، ويوضح الجدول أدناه لكل واحد منها أين تبقى القيمة وماذا يعني مسحها فعليًا. يحتفظ ملف تعريف نظام التشغيل الأصلي بالسرّ في مخزن بيانات الاعتماد بالمنصة، ولهذا يمكن أن يبقى الإدخال أطول من التطبيق الذي كتبه. يحتفظ ملف تكوين العميل بالقيمة حيث يقرأها ذلك العميل، إما مضمّنة أو في ملف مصادقة مُشار إليه، لذا فإن تحرير ملف مختلف لا يغيّر شيئًا. تعيش ملفات تعريف ارتباط البوابة وبيانات الاعتماد المسلَّمة عبر السياسات في مكان لا تملكه الجهاز فعليًا، وهذا ما يحدد من يحق له تغييرها.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
افحصها بترتيب ثابت: مخزن بيانات الاعتماد في نظام التشغيل أولًا، لأنه الذي يستشيره العميل افتراضيًا، ثم خزنة العميل الخاصة أو ملف تكوينه، ثم جلسة البوابة، وأخيرًا السياسة التي يمكنها أن تتجاوز الثلاثة. الترتيب مهم لأن مخزنًا لاحقًا قد يعيد بصمت مخزنًا سابقًا، وستكون قد أصلحت الطبقة الخاطئة بينما يستمر الفشل. دوّن أي مخزن غيّرته، لأن تلك الملاحظة هي ما يجعل إعادة التعيين التالية مهمة من دقيقتين بدلًا من أمسية.
انظر في المخزن الذي يستخدمه العميل فعليًا
اقرأ قبل أن تحذف، حتى تعرف أي إدخال كان يخص VPN. الأوامر أدناه تسرد وتفحص بدلًا من أن تحذف، وهذا يُبقي التشخيص قابلًا للتراجع.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordعلى Linux، يُظهر -s أسرارًا يخفيها NetworkManager بغير ذلك. على macOS، يطبع أمر Keychain العنصر المخزّن، لذا تعامل مع سجل الطرفية كمادة حساسة. إذا كان العميل الفاشل تطبيق طرف ثالث له خزنة خاصة، فسيبدو مخزن نظام التشغيل صحيحًا بينما يحتفظ التطبيق بنسخته الخاصة، وتلك الخزنة هي المكان الذي يجب أن يجري فيه التغيير.
تعامل مع الأجهزة غير المتصلة
أجهزة محمولة تستيقظ وتعيد الاتصال تلقائيًا ستظل تقدّم السرّ القديم ما دامت نسختها موجودة. خطّط للتحديث بحيث تُصحَّح تلك الأجهزة قبل أن تعيد المحاولة دفعة واحدة، وفكّر في تعطيل الاتصال التلقائي على الملف الشخصي المتأثر حتى يمر كل جهاز عبر المسار المدعوم.
بالنسبة إلى أسطول مُدار، غيّر القيمة حيث تُعرَّف السياسة. تحرير نسخة محلية على جهاز تُوفَّر بيانات اعتماده مركزيًا حلّ مؤقت في أفضل الأحوال؛ فتحديث السياسة التالي يستعيد القيمة القديمة ويعود الفشل دون تفسير.
تحقق بمحاولة واحدة مضبوطة
حدّث الإدخال المقصود، وأعد الاتصال مرة واحدة، وتأكد من أن النفق يصل إلى شيء محدد. المحاولة الواحدة المضبوطة تنتج خطأً صالحًا للاستخدام إذا فشلت، بينما عشرون محاولة تنتج حسابًا مقفلًا ولغزًا. إذا استمر عميل في الفشل بعد تصحيح المخزن، فالتقط خطأً واحدًا غير سري وتوقف. احتفظ بذلك الخطأ مع اسم الجهاز حتى تبدأ الوردية التالية من حيث انتهيت.
لا تمسّ إعادة تعيين كلمة المرور الشهادات أو رموز الجلسات أو تسجيل MFA، فهي هويات منفصلة لها دورة حياتها. لا تُصلَح شهادة مجدَّدة بتدوير كلمة مرور، وقد يظل رمز صادر قبل إعادة التعيين صالحًا. اختم بأن تدوّن أي مخزن احتفظ بالقيمة القديمة، لأن إعادة التعيين التالية ستصطدم بالقائمة نفسها.