Адна прылада ўсё яшчэ не падключаецца пасля скіду пароля VPN

Вы скінулі пароль, праверылі яго ў партале, але адзін ноўтбук дагэтуль не можа падключыцца. Першая думка — скінуць яго яшчэ раз, і менавіта так уліковы запіс блакуецца, а састарэлы сакрэт ператвараецца ў інцыдэнт. Кліент VPN рэдка пытаецца пароль кожны раз; ён пытаецца аднойчы і захоўвае адказ у месцы, якое вы не выбіралі. Знайсці гэтае месца — уся задача, і гэта хутчэй за чарговы скід.

Пацвердзіце, што кожны кліент фактычна адпраўляе

Праверце ўліковы запіс, дамен і шлюз на кліенце, які збойвае, перш чым лічыць пароль прычынай. Уваход у веб-партал можа выкарыстоўваць іншую сістэму ідэнтычнасці, чым сам VPN, таму паспяховы ўваход у партал нічога не кажа пра аўтэнтыфікацыю пратакола. Некаторыя разгортванні прымаюць у партале адрас электроннай пошты, а ў тунелі — іншае імя карыстальніка. Пацвердзіце, якую ідэнтычнасць кліент наладжаны прадставіць, перш чым нешта скідваць.

Прачытайце тэкст памылкі і класіфікуйце яго. Збой сертыфіката, скончаны выклік або непадтрыманы шыфр — не састарэлы пароль, і калі абыходзіцца з імі як з такім, атрымаецца цыкл скідаў без выніку. Калі ў службы ёсць палітыка блакавання, спыніцеся пасля дзвюх або трох няўдалых спроб і пацвердзіце стан уліковага запісу, перш чым працягваць.

Пералічыце сховішчы замест здагадак

Сакрэт VPN захоўваюць чатыры сховішчы, і табліца ніжэй паказвае для кожнага, дзе значэнне застаецца і што насамрэч азначае яго ачыстка. Убудаваны профіль АС захоўвае сакрэт у сховішчы ўліковых даных платформы, таму запіс можа перажыць праграму, якая яго стварыла. Файл канфігурацыі кліента захоўвае значэнне там, дзе гэты кліент яго чытае, — убудавана або ў спасылачным файле аўтэнтыфікацыі, таму рэдагаванне іншага файла нічога не зменіць. Кукі партала і ўліковыя даныя, дастаўленыя палітыкай, жывуць там, чым прылада насамрэч не валодае, і гэта вызначае, каму дазволена іх змяняць.

Правярайце іх у фіксаваным парадку: спачатку сховішча ўліковых даных АС, бо кліент па змаўчанні звяртаецца менавіта да яго, потым уласнае сховішча або файл канфігурацыі кліента, затым сесія браўзера і, нарэшце, палітыка, якая можа перазапісаць усе тры. Парадак важны, бо пазнейшае сховішча можа моўчкі аднавіць ранейшае, і вы выправіце не той узровень, пакуль збой застанецца. Запішыце, якое сховішча вы змянілі, бо менавіта гэтая нататка робіць наступны скід справай на дзве хвіліны, а не на цэлы паўдзень.

Загляніце ў сховішча, якое кліент насамрэч выкарыстоўвае

Прачытайце перад выдаленнем, каб ведаць, які запіс належаў VPN. Каманды ніжэй пералічваюць і аглядаюць, а не выдаляюць, што захоўвае дыягностыку зваротнай.

# Windows credential store
cmdkey /list | findstr /i vpn

# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid

# macOS Keychain
security find-generic-password -s "Company VPN" -g

# Linux NetworkManager
nmcli -s connection show "Work" | grep -i password

У Linux -s паказвае сакрэты, якія NetworkManager інакш хавае. У macOS каманда Keychain друкуе захаваны элемент, таму стаўцеся да пракруткі тэрмінала як да канфідэнцыйных даных. Калі кліент, які збойвае, — гэта старонняя праграма з уласным сховішчам, сховішча АС будзе выглядаць правільным, пакуль праграма трымае ўласную копію, і змяняць трэба менавіта гэтае сховішча.

Займіцеся прыладамі, якія знаходзяцца афлайн

Ноўтбукі, якія прачынаюцца і падключаюцца самастойна будуць прад'яўляць стары сакрэт, пакуль існуе іх копія. Сплануйце абнаўленне так, каб гэтыя прылады былі выпраўленыя да таго, як яны паспрабуюць зноў усе разам, і разгледзьце магчымасць адключыць аўтападключэнне ў закранутым профілі, пакуль кожная не пройдзе падтрыманы сцэнар.

Для кіраванага парку змяніце значэнне там, дзе вызначана палітыка. Рэдагаванне лакальнай копіі на прыладзе, чыі ўліковыя даныя выдаюцца цэнтралізавана, — у лепшым выпадку часовае рашэнне; наступнае абнаўленне палітыкі верне старое значэнне, і збой вернецца без тлумачэння.

Праверце адной кантраляванай спробай

Абнавіце патрэбны запіс, падключыцеся адзін раз і пацвердзіце, што тунель дасягае чагосьці канкрэтнага. Адна кантраляваная спроба дасць прыдатную для выкарыстання памылку, калі не ўдасца, а дваццаць дадуць заблакаваны ўліковы запіс і загадку. Калі кліент усё яшчэ збойвае пасля выпраўлення сховішча, злавіце адну памылку без сакрэтаў і спыніцеся. Захавайце гэтую памылку разам з імем прылады, каб наступная змена пачалася там, дзе вы скончылі.

Змена пароля не закранае сертыфікаты, маркеры сесій або рэгістрацыю MFA, і гэта асобныя ідэнтычнасці са сваім жыццёвым цыклам. Абноўлены сертыфікат не выпраўляецца ратацыяй пароля, а маркер, выдадзены да скіду, можа застацца сапраўдным. Завяршыце тым, што запішыце, якое сховішча трымала старое значэнне, бо наступны скід натыкнецца на той жа спіс.