Едно устройство все още не се свързва след смяната на паролата за VPN
Новата парола работи навсякъде освен при един клиент. Открийте хранилището, което още пази старата стойност, ограничете опитите и проверете с един опит.
Сменихте паролата, проверихте я в портала, а един лаптоп все още не може да се свърже. Първият импулс е да я смените отново и точно така акаунтът се заключва, а застояла тайна се превръща в инцидент. VPN клиентът рядко иска парола всеки път; иска я веднъж и запазва отговора някъде, където вие не сте избирали. Намирането на това място е цялата работа и е по-бързо от още една смяна.
Потвърдете какво всъщност изпраща всеки клиент
Проверете акаунта, домейна и шлюза на проблемния клиент, преди да приемете, че паролата е причината. Входът в уеб портала може да използва различна система за идентичност от самия VPN, така че успешният вход в портала не казва нищо за удостоверяването на протокола. Някои внедрявания приемат имейл в портала и различно потребителско име в тунела. Потвърдете коя идентичност клиентът е конфигуриран да представя, преди да смените каквото и да е.
Прочетете текста на грешката и го класифицирайте. Отказ на сертификат, изтекло предизвикателство или неподдържан шифър не е застояла парола и третирането им като такава води до цикъл от смени без ефект. Ако услугата има политика за заключване, спрете след два или три неуспешни опита и потвърдете състоянието на акаунта, преди да продължите.
Избройте хранилищата вместо да гадаете
Четири хранилища пазят тайна за VPN и таблицата по-долу показва за всяко къде остава стойността и какво всъщност означава изчистването ѝ. Вграденият профил на операционната система пази тайната в хранилището за идентификационни данни на платформата и затова записът може да надживее приложението, което го е създало. Конфигурационният файл на клиента пази стойността там, където клиентът я чете — вградена или в рефериран файл за удостоверяване, така че редакцията на друг файл не променя нищо. Бисквитката на портала и идентификационните данни, доставени чрез политика, живеят някъде, което устройството всъщност не притежава, и това определя кой има право да ги променя.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Проверявайте ги в фиксиран ред: първо хранилището за идентификационни данни на операционната система, защото клиентът се обръща към него по подразбиране, после собственото хранилище или конфигурационен файл на клиента, след това сесията в браузъра и накрая политиката, която може да презапише и трите. Редът е важен, защото по-късно хранилище може тихо да възстанови по-ранно и вие ще сте поправили грешния слой, докато отказът продължава. Запишете кое хранилище сте променили, защото именно тази бележка превръща следващата смяна в работа за две минути вместо за цял следобед.
Погледнете в хранилището, което клиентът всъщност използва
Прочетете, преди да изтриете, за да знаете кой запис е принадлежал на VPN. Командите по-долу изброяват и преглеждат, вместо да премахват, което запазва диагнозата обратима.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordВ Linux -s показва тайни, които NetworkManager иначе скрива. В macOS командата на Keychain отпечатва запазения елемент, затова третирайте превъртането на терминала като чувствително. Ако проблемният клиент е приложение от трета страна със собствено хранилище, хранилището на операционната система ще изглежда правилно, докато приложението пази свой собствен екземпляр, и точно това хранилище трябва да се промени.
Работете с устройствата, които са офлайн
Лаптопи, които се събуждат и се свързват отново сами ще продължат да представят старата тайна, докато съществува тяхното копие. Планирайте актуализацията така, че тези устройства да бъдат поправени, преди да опитат отново наведнъж, и обмислете изключване на автоматичното свързване в засегнатия профил, докато всяко не премине през поддържания поток.
За управляван парк променете стойността там, където е дефинирана политиката. Редактирането на локално копие на устройство, чиито идентификационни данни се предоставят централно, е в най-добрия случай временно; следващото обновяване на политиката възстановява старата стойност и отказът се връща без обяснение.
Проверете с един контролиран опит
Актуализирайте предвидения запис, свържете се отново веднъж и потвърдете, че тунелът достига до нещо конкретно. Един контролиран опит дава използваема грешка, ако се провали, докато двадесет дават заключен акаунт и загадка. Ако клиент все още се проваля, след като хранилището е поправено, уловете една грешка без тайни и спрете. Пазете тази грешка с името на устройството, за да започне следващата смяна там, където сте спрели.
Смяната на парола не засяга сертификати, токени за сесии или регистрация за MFA и това са отделни идентичности със свой жизнен цикъл. Обновен сертификат не се поправя чрез смяна на парола, а токен, издаден преди смяната, може все още да е валиден. Завършете, като запишете кое хранилище е пазило старата стойност, защото следващата смяна ще срещне същия списък.