VPN autentifikacija nije uspjela: rijetko je kriv port ili DNS

Poruka da autentifikacija nije uspjela znači da je servis primio identitet i odbio ga, što je uža tvrdnja nego što većina ljudi u nju učitava. Port je otvoren, TLS sesija je vjerovatno završena, a nešto u akreditivu ili računu je odbijeno. Promjena mrežnih postavki to ne može popraviti, a ponavljanje pokušaja može zaključati račun. Tekst greške već imenuje fazu, pa počnite odatle.

Greška vam je već rekla koja faza nije uspjela

Veza koja nikada ne završi TLS rukovanje nije uopće stigla do autentifikacije. Veza koja završi rukovanje i zatim prijavi odbijanje akreditiva stigla je do nje i tu nije uspjela. Ta dva ishoda traže različite istrage i često se miješaju jer oba završavaju zatvorenim prozorom.

OpenVPN čini razliku eksplicitnom porukom AUTH_FAILED sa servera, koja je odluka, a ne transportna greška. Istek TLS pregovora ili greška provjere certifikata pripada ranijoj fazi. Pročitajte koja je vaša prije nego dirnete akreditive, jer reset lozinke ne može popraviti rukovanje, a promjena firewall-a ne može popraviti odbijenu prijavu. Jedan red klijentskog dnevnika odgovara na pitanje.

Ista logika vrijedi za sesiju koja se poveže i kasnije padne. Neuspjeh ponovne autentifikacije u četrdesetoj minuti je drugačiji kvar od odbijanja pri prvoj prijavi, a interval je trag.

Potvrdite da profil pokazuje na pravi servis

Račun koji se koristi na web stranici provajdera nije uvijek račun koji prihvata njegov VPN gateway. Sačuvani profil može također pokazivati na stari gateway dugo nakon što se servis preselio.

Uporedite krajnju tačku u profilu s onom koju je operater objavio i provjerite koji sistem identiteta gateway konsultuje. Reset lozinke na web portalu ne mijenja ništa ako se tunel autentificira prema zasebnom direktoriju. Akreditivi za nepovezani javni server neće raditi na vašem, a testiranje poslovne lozinke u profilu dobijenom kroz nepouzdanu poruku je u svakom slučaju loša razmjena. Potvrdite porijeklo prije nego što bilo šta otkucate.

Dvije minute na profilu sprječavaju dan pogađanja akreditiva.

Format prijave je dio akreditiva

Korisničko ime može zahtijevati formu e-pošte, prefiks domena ili sufiks direktorija. Gateway poredi primljeni niz, pa je forma dio akreditiva, a ne ukras.

Zatim isključite dosadne uzroke prije eskalacije. Provjerite raspored tastature, svaki završni razmak nastao kopiranjem i stari unos u upravitelju lozinki. Nakon reseta potvrdite da VPN koristi isti izvor identiteta kao stranica na kojoj je lozinka promijenjena. Ako su ti detalji ispravni, prestanite pogađati i pitajte operatera je li račun omogućen i ovlašten za VPN pristup. To je ispravka na strani servisa, a ne klijentska postavka.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Red dnevnika koji nosi AUTH_FAILED obično sadrži kod razloga ili challenge niz. Kopirajte ga tačno umjesto prepričavanja kada tražite pomoć.

Drugi faktori imaju svoj ugovor

Profil može očekivati jednokratni kod, interaktivni izazov ili prijavu putem preglednika koja vraća token klijentu. Koristite tok koji operater podržava umjesto da izmišljate vlastiti.

Ne dodajte kod lozinci osim ako taj format nije izričito potreban, jer neka postavljanja koriste zasebno polje, a neka challenge niz. Za kodove zasnovane na vremenu provjerite sat uređaja, jer nekoliko minuta odstupanja poništava svaki kod. Ako prijava putem preglednika uspije, a klijent se nikada ne nastavi, zabilježite upravo tu tačku, jer ona označava predaju, a ne akreditiv. Još jedan reset lozinke vjerovatno neće pomoći.

Ograničenje sesija je drugo često odbijanje. Ako račun dozvoljava jednu sesiju, druga prijava može prekinuti prvu, a simptom izgleda kao lepršava veza, a ne kao politika.

Certifikat nije lozinka

Klijentski certifikat može isteći ili biti opozvan dok lozinka računa ostaje potpuno ispravna. Lozinka privatnog ključa je opet treća tajna i štiti datoteku, a ne račun.

Pročitajte grešku prije nego bilo šta zamijenite, zatim nabavite ispravnu zamjenu od potvrđenog operatera. Držite provjeru identiteta servera uključenom dok to radite: prihvatanje nepovezanog certifikata ili kopiranje tuđeg privatnog ključa nije popravka, to je drugi incident. Zatim testirajte resurs koji vam zaista treba, jer povezani tunel s nedostupnim servisom pripada drugoj istrazi. Zapišite koja faza nije uspjela da sljedeća osoba ne počinje cijeli proces ispočetka.

Ako se sesija uspostavi i kasnije ne uspije, zabilježite interval i sve obližnje događaje obnove. Taj zapis odvaja problem trajanja tokena od neuspjeha prve prijave i razlika je između popravke od pet minuta i sedmice ponovnih pokušaja.