Памылка аўтэнтыфікацыі VPN: часцей за ўсё справа не ў порце і не ў DNS

Паведамленне пра памылку аўтэнтыфікацыі азначае, што служба атрымала ідэнтычнасць і адхіліла яе, і гэта вузкая фармулёўка, чым звычайна чытаюць. Порт адкрыты, сеанс TLS цалкам мог завяршыцца, а нешта ва ўліковых даных або ў запісе было адхілена. Змяненне сеткавых налад гэтага не выправіць, а паўтор спробы можа заблакіраваць запіс. Тэкст памылкі ўжо называе этап, таму пачынайце з яго.

Памылка ўжо паведаміла, на якім этапе збой

Злучэнне, якое так і не завяршае рукапацісканне TLS, наогул не дасягае аўтэнтыфікацыі. Злучэнне, якое завяршае рукапацісканне і потым паведамляе пра адхіленне ўліковых даных, дасягнула яе і збаіла там. Гэтыя два вынікі патрабуюць розных расследаванняў, і іх часта блытаюць, бо абодва заканчваюцца закрытым акном.

OpenVPN робіць гэтае размежаванне відавочным праз паведамленне AUTH_FAILED ад сервера, і гэта рашэнне, а не транспартная памылка. Тайм-аўт перамовы TLS або памылка праверкі сертыфіката належыць да папярэдняга этапу. Прачытайце, які з іх у вас, перш чым чапаць уліковыя даныя, бо скід пароля не выправіць рукапацісканне, а змена файрвола не выправіць адхілены ўваход. Адзін радок кліенцкага журнала адказвае на пытанне.

Тая ж логіка дзейнічае для сеансу, які падключаецца і потым абрываецца. Збой паўторнай аўтэнтыфікацыі на саракавой хвіліне — іншая няспраўнасць, чым адмова пры першым уваходзе, і інтэрвал з'яўляецца падказкай.

Пераканайцеся, што профіль паказвае на патрэбную службу

Запіс, які выкарыстоўваецца на сайце правайдэра, не заўсёды той запіс, які прымае яго шлюз VPN. Захаваны профіль таксама можа паказваць на стары шлюз праздоўга пасля пераезду службы.

Параўнайце канчатковы пункт у профілі з тым, які апублікаваў аператар, і праверце, да якой сістэмы ідэнтычнасці звяртаецца шлюз. Скід пароля на вэб-партале нічога не зменіць, калі тунель аўтэнтыфікуецца ў асобным каталогу. Уліковыя даныя для незвязанага публічнага сервера не падыдуць для вашага, а праверка працоўнага пароля ў профілі, атрыманым праз недаверлівае паведамленне, у любым разе дрэнны абмен. Пацвердзіце крыніцу, перш чым нешта ўводзіць.

Дзве хвіліны на профіль прадухіляюць дзень згадвання ўліковых даных.

Фармат уваходу — частка ўліковых даных

Імя карыстальніка можа патрабаваць формы электроннай пошты, прэфікса дамена або суфікса каталога. Шлюз параўноўвае атрыманы радок, таму форма — частка ўліковых даных, а не упрыгожанне.

Затым выключыце сумныя прычыны, перш чым эскаліраваць. Праверце раскладку клавіятуры, любы канцавы прабел ад капіравання і стары запіс у мэнэджары пароляў. Пасля скіду пераканайцеся, што VPN выкарыстоўвае тую ж крыніцу ідэнтычнасці, што і старонка, дзе змяніўся пароль. Калі гэтыя дэталі правільныя, спыніце згадваць і спытайце ў аператара, ці ўключаны запіс і ці дазволены яму доступ да VPN. Гэта выпраўленне з боку службы, а не налада кліента.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Радок журнала з AUTH_FAILED звычайна ўтрымлівае код прычыны або радок выкліку. Капіруйце яго дакладна, а не пераказвайце, калі просіце дапамогі.

Другія фактары маюць свой дагавор

Профіль можа чакаць аднаразовы код, інтэрактыўны выклік або ўваход праз браўзер, які вяртае кліенту токен. Выкарыстоўвайце паток, які падтрымлівае аператар, а не выдумляйце свой.

Не далучайце код да пароля, калі гэты фармат не патрабуецца яўна, бо некаторыя ўстаноўкі выкарыстоўваюць асобнае поле, а некаторыя — радок выкліку. Для кодаў на аснове часу праверце гадзіннік прылады, бо некалькі хвілін разыходжання робяць кожны код несапраўдным. Калі ўваход праз браўзер паспяховы, а кліент так і не аднаўляецца, зафіксуйце менавіта гэты момант, бо ён паказвае перадачу, а не ўліковыя даныя. Яшчэ адзін скід пароля наўрад ці дапаможа.

Абмежаванне сеансаў — іншая распаўсюджаная адмова. Калі запіс дапускае адзін сеанс, другі ўваход можа спыніць першы, і сімптом выглядае як дрыжачае злучэнне, а не як палітыка.

Сертыфікат — не пароль

Кліенцкі сертыфікат можа скончыцца або быць адкліканы, пакуль пароль запісу застаецца цалкам правільным. Парольная фраза прыватнага ключа — зноў трэці сакрэт, і яна абараняе файл, а не запіс.

Прачытайце памылку, перш чым нешта замяняць, затым атрымайце правільную замену ў пацверджанага аператара. Падчас гэтага пакідайце ўключанай праверку ідэнтычнасці сервера: прыняць незвязаны сертыфікат або скапіяваць чужы прыватны ключ — гэта не рамонт, а другі інцыдэнт. Затым праверце рэсурс, які вам сапраўды патрэбны, бо падключаны тунель з недаступнай службай належыць да іншага расследавання. Запішыце, на якім этапе здарыўся збой, каб наступны чалавек не пачынаў увесь працэс нанова.

Калі сеанс усталёўваецца і потым збаіць, зафіксуйце інтэрвал і любыя блізкія падзеі абнаўлення. Гэты запіс аддзяляе праблему часу жыцця токена ад збою першага ўваходу, і гэта розніца паміж выпраўленнем за пяць хвілін і тыднем спроб.