فشل مصادقة VPN: نادرًا ما يكون السبب المنفذ أو DNS

تعني عبارة فشل المصادقة أن الخدمة تلقت هوية ورفضتها، وهو بيان أضيق مما يفهمه معظم الناس منه. المنفذ مفتوح، وجلسة TLS ربما اكتملت، وقد رُفض شيء ما في بيانات الاعتماد أو في الحساب. لا يمكن لتغيير إعدادات الشبكة إصلاح ذلك، وقد تؤدي إعادة المحاولة إلى قفل الحساب. نص الخطأ يذكر المرحلة مسبقًا، فابدأ من هناك.

رسالة الخطأ أخبرتك بالفعل أي مرحلة فشلت

الاتصال الذي لا يكمل مصافحة TLS لا يصل إلى المصادقة إطلاقًا. الاتصال الذي يكمل المصافحة ثم يبلّغ عن رفض بيانات الاعتماد قد وصل إليها وفشل هناك. تحتاج هاتان النتيجتان إلى تحقيقين مختلفين، وكثيرًا ما يُخلط بينهما لأن كلتيهما تنتهيان بنافذة مغلقة.

OpenVPN يوضح التمييز صراحةً برسالة AUTH_FAILED من الخادم، وهي قرار وليست خطأ نقل. انتهاء مهلة تفاوض TLS أو خطأ التحقق من الشهادة ينتميان إلى المرحلة السابقة. اقرأ أي المرحلتين لديك قبل لمس بيانات الاعتماد، لأن إعادة تعيين كلمة المرور لا تصلح مصافحة، وتغيير جدار الحماية لا يصلح تسجيل دخول مرفوضًا. سطر واحد من سجل العميل يجيب عن السؤال.

ينطبق المنطق نفسه على جلسة تتصل ثم تنقطع لاحقًا. فشل إعادة المصادقة في الدقيقة الأربعين عطل مختلف عن رفض تسجيل الدخول الأول، والفاصل الزمني هو الدليل.

تأكد من أن الملف الشخصي يشير إلى الخدمة الصحيحة

الحساب المستخدم على موقع المزود ليس دائمًا الحساب الذي تقبله بوابة VPN الخاصة به. وقد يشير ملف شخصي محفوظ إلى بوابة قديمة بعد انتقال الخدمة بوقت طويل.

قارن نقطة النهاية في الملف الشخصي بتلك التي نشرها المشغّل، وتحقق من نظام الهويات الذي تستشيره البوابة. إعادة تعيين كلمة المرور على بوابة ويب لا تغير شيئًا إذا كانت النفق تصادق عبر دليل منفصل. لن تعمل بيانات اعتماد خادم عام غير ذي صلة على خادمك، واختبار كلمة مرور عمل في ملف شخصي ورد عبر رسالة غير موثوقة مقايضة سيئة في كل الأحوال. تأكد من المصدر قبل كتابة أي شيء.

دقيقتان على الملف الشخصي تمنعان يومًا من تخمين بيانات الاعتماد.

صيغة تسجيل الدخول جزء من بيانات الاعتماد

قد يحتاج اسم المستخدم إلى صيغة بريد إلكتروني أو بادئة نطاق أو لاحقة دليل. تقارن البوابة النص الذي تلقته، فالصيغة جزء من بيانات الاعتماد وليست زخرفة.

ثم استبعد الأسباب المملة قبل التصعيد. تحقق من تخطيط لوحة المفاتيح، وأي مسافة زائدة أدخلها النسخ، وإدخال قديم في مدير كلمات المرور. بعد إعادة التعيين، تأكد من أن VPN يستخدم مصدر الهوية نفسه الذي تستخدمه الصفحة التي غُيّرت فيها كلمة المرور. إذا كانت تلك التفاصيل صحيحة، فكف عن التخمين واسأل المشغّل هل الحساب ممكّن ومصرّح له بالوصول إلى VPN. ذلك تصحيح من جانب الخدمة وليس إعدادًا في العميل.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

سطر السجل الذي يحمل AUTH_FAILED يتضمن عادةً رمز سبب أو سلسلة تحدٍّ. انسخه كما هو بدلًا من إعادة صياغته عندما تطلب المساعدة.

للعوامل الثانية عقدها الخاص

قد يتوقع الملف الشخصي رمزًا لمرة واحدة أو تحديًا تفاعليًا أو تسجيل دخول في المتصفح يعيد رمزًا إلى العميل. استخدم التدفق الذي يدعمه المشغّل بدلًا من اختراع واحد.

لا تلحق رمزًا بكلمة المرور إلا إذا كانت تلك الصيغة مطلوبة صراحةً، لأن بعض عمليات النشر تستخدم حقلًا منفصلًا وبعضها يستخدم سلسلة تحدٍّ. بالنسبة إلى الرموز المعتمدة على الوقت، تحقق من ساعة الجهاز، لأن بضع دقائق من الانحراف تبطل كل رمز. إذا نجح تسجيل الدخول في المتصفح ولم يستأنف العميل أبدًا، فسجّل تلك النقطة بالضبط، لأنها تحدد لحظة التسليم وليس بيانات الاعتماد. إعادة تعيين أخرى لكلمة المرور من غير المرجح أن تساعد.

حد الجلسات هو الرفض الشائع الآخر. إذا كان الحساب يسمح بجلسة واحدة، فقد ينهي تسجيل دخول ثانٍ الأول، وتبدو الأعراض كاتصال متذبذب وليس كسياسة.

الشهادة ليست كلمة مرور

يمكن أن تنتهي صلاحية شهادة العميل أو يتم إلغاؤها بينما تبقى كلمة مرور الحساب صحيحة تمامًا. عبارة مرور المفتاح الخاص سر ثالث أيضًا، وهي تحمي ملفًا وليس حسابًا.

اقرأ الخطأ قبل استبدال أي شيء، ثم احصل على البديل الصحيح من المشغّل الموثوق. أبقِ التحقق من هوية الخادم مفعّلًا أثناء ذلك: قبول شهادة غير ذات صلة أو نسخ مفتاح خاص لشخص آخر ليس إصلاحًا، بل حادث ثانٍ. ثم اختبر المورد الذي تحتاجه فعلًا، لأن نفقًا متصلًا مع خدمة لا يمكن الوصول إليها ينتمي إلى تحقيق مختلف. دوّن أي مرحلة فشلت حتى لا يبدأ الشخص التالي العملية كلها من جديد.

إذا أُنشئت الجلسة وفشلت لاحقًا، فسجّل الفاصل الزمني وأي أحداث تجديد قريبة. يميّز هذا السجل مشكلة عمر الرمز من فشل تسجيل الدخول الأول، وهو الفرق بين إصلاح من خمس دقائق وأسبوع من المحاولات.