Неуспешна автентикация на VPN: рядко причината е портът или DNS

Съобщението за неуспешна автентикация означава, че услугата е получила самоличност и я е отхвърлила, което е по-тясно твърдение, отколкото повечето хора влагат в него. Портът е отворен, TLS сесията вероятно е завършила, а нещо в идентификационните данни или в профила е било отхвърлено. Промяната на мрежови настройки не може да поправи това, а повторението на опита може да заключи профила. Текстът на грешката вече посочва етапа, така че започнете оттам.

Грешката вече ви каза кой етап се е провалил

Връзка, която никога не завършва TLS ръкостискането, изобщо не е достигнала до автентикация. Връзка, която завършва ръкостискането и след това съобщава за отхвърлени идентификационни данни, я е достигнала и се е провалила там. Тези два изхода изискват различни разследвания и често се бъркат, защото и двата завършват със затворен прозорец.

OpenVPN прави разликата явна чрез съобщение AUTH_FAILED от сървъра, което е решение, а не транспортна грешка. Изтичане на времето при TLS преговори или грешка при проверка на сертификат принадлежи към по-ранния етап. Прочетете кой от двата имате, преди да пипате идентификационни данни, защото нулирането на парола не може да поправи ръкостискане, а промяната на защитна стена не може да поправи отхвърлено влизане. Един ред от клиентския журнал отговаря на въпроса.

Същата логика важи за сесия, която се свързва и след това прекъсва. Провал при повторна автентикация на четиридесетата минута е различен дефект от отказ при първо влизане и интервалът е следата.

Уверете се, че профилът сочи към правилната услуга

Профилът, използван на сайта на доставчика, не винаги е профилът, който неговият VPN шлюз приема. Запазен профил може също да сочи към стар шлюз дълго след като услугата се е преместила.

Сравнете крайната точка в профила с тази, която операторът е публикувал, и проверете коя система за самоличност ползва шлюзът. Нулиране на парола в уеб портал не променя нищо, ако тунелът се автентикира срещу отделна директория. Идентификационни данни за несвързан публичен сървър няма да работят на вашия, а тестването на служебна парола в профил, получен чрез ненадеждно съобщение, е лоша размяна при всички случаи. Потвърдете произхода, преди да напишете нещо.

Две минути върху профила предотвратяват ден гадаене на идентификационни данни.

Форматът за влизане е част от идентификационните данни

Потребителското име може да изисква форма на имейл, представка на домейн или наставка на директория. Шлюзът сравнява низа, който е получил, така че формата е част от идентификационните данни, а не украшение.

След това изключете скучните причини, преди да ескалирате. Проверете клавиатурната подредба, всеки завършващ интервал от копиране и стар запис в мениджъра на пароли. След нулиране потвърдете, че VPN използва същия източник на самоличност като страницата, на която паролата е сменена. Ако тези детайли са верни, спрете да гадаете и попитайте оператора дали профилът е включен и оторизиран за VPN достъп. Това е корекция от страна на услугата, а не настройка на клиента.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Редът в журнала с AUTH_FAILED обикновено включва код на причината или низ за предизвикателство. Копирайте го точно, вместо да го преразказвате, когато искате помощ.

Вторите фактори имат свой собствен договор

Профилът може да очаква еднократен код, интерактивно предизвикателство или влизане през браузър, което връща токен на клиента. Използвайте потока, който операторът поддържа, вместо да измисляте такъв.

Не добавяйте код към паролата, освен ако този формат не е изрично изискан, защото някои внедрявания използват отделно поле, а други — низ за предизвикателство. За кодове, базирани на време, проверете часовника на устройството, защото няколко минути отклонение обезсилват всеки код. Ако влизането през браузър успее, а клиентът никога не се възобнови, отбележете точно тази точка, защото тя идентифицира предаването, а не идентификационните данни. Още едно нулиране на парола едва ли ще помогне.

Ограничението на сесиите е другото често отхвърляне. Ако профилът позволява една сесия, второ влизане може да прекрати първото и симптомът изглежда като трептяща връзка, а не като политика.

Сертификатът не е парола

Клиентски сертификат може да изтече или да бъде отменен, докато паролата на профила остава напълно правилна. Паролата за частен ключ е отново трета тайна и защитава файл, а не профил.

Прочетете грешката, преди да замените нещо, след което вземете правилната замяна от потвърдения оператор. Оставете проверката на самоличността на сървъра включена, докато го правите: приемането на несвързан сертификат или копирането на чужд частен ключ не е поправка, а втори инцидент. След това тествайте ресурса, който наистина ви трябва, защото свързан тунел с недостъпна услуга принадлежи към друго разследване. Запишете кой етап се е провалил, за да не започва следващият човек целия процес отначало.

Ако сесията се установи и по-късно се провали, запишете интервала и събитията за подновяване наблизо. Този запис отделя проблема с живота на токена от провал при първо влизане и е разликата между петминутна поправка и седмица опити.