Un dispositiu encara no es connecta després de restablir la contrasenya del VPN

Heu restablert la contrasenya, l’heu provada al portal i un portàtil encara no es pot connectar. L’instint és restablir-la de nou, i així és com un compte es bloqueja i un secret antic es converteix en un incident. Un client VPN poques vegades demana la contrasenya cada cop; la demana un cop i desa la resposta en un lloc que no heu triat. Trobar aquest lloc és tota la feina, i és més ràpid que un altre restabliment.

Confirmeu què envia realment cada client

Comproveu el compte, el domini i la passarel·la al client que falla abans de suposar que la contrasenya és el problema. L’inici de sessió al portal web pot fer servir un sistema d’identitat diferent del VPN mateix, així que un inici de sessió correcte al portal no diu res sobre l’autenticació del protocol. Alguns desplegaments accepten un correu electrònic al portal i un nom d’usuari diferent al túnel. Confirmeu quina identitat està configurat el client per presentar abans de restablir res.

Llegiu el text de l’error i classifiqueu-lo. Un error de certificat, un repte caducat o un xifratge no compatible no és una contrasenya antiga, i tractar-ho com a tal produeix un bucle de restabliments sense efecte. Si el servei té una política de bloqueig, atureu-vos després de dos o tres intents fallits i confirmeu l’estat del compte abans de continuar.

Enumereu els emmagatzematges en lloc d’endevinar

Quatre emmagatzematges guarden un secret de VPN, i la taula de sota mostra per a cadascun on sobreviu el valor i què significa realment esborrar-lo. Un perfil natiu del sistema operatiu guarda el secret a l’emmagatzematge de credencials de la plataforma, i per això l’entrada pot sobreviure a l’aplicació que la va escriure. Un fitxer de configuració del client guarda el valor allà on el llegeix aquell client, ja sigui en línia o en un fitxer d’autenticació referenciat, així que editar un altre fitxer no canvia res. Una galeta del portal i una credencial lliurada per política viuen en un lloc que el dispositiu no posseeix de debò, cosa que decideix qui pot canviar-les.

Comproveu-los en un ordre fix: primer l’emmagatzematge de credencials del sistema operatiu, perquè és el que el client consulta per defecte, després la caixa forta o el fitxer de configuració del client, després la sessió del navegador i finalment la política que pot sobreescriure els tres. L’ordre importa perquè un emmagatzematge posterior pot restaurar silenciosament un d’anterior, i haureu arreglat la capa equivocada mentre la fallada continua. Anoteu quin emmagatzematge heu canviat, perquè aquesta nota és el que converteix el proper restabliment en una feina de dos minuts en lloc d’una tarda.

Mireu a l’emmagatzematge que el client fa servir realment

Llegiu abans d’esborrar, per saber quina entrada pertanyia al VPN. Les ordres de sota llisten i inspeccionen en lloc d’eliminar, cosa que manté el diagnòstic reversible.

# Windows credential store
cmdkey /list | findstr /i vpn

# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid

# macOS Keychain
security find-generic-password -s "Company VPN" -g

# Linux NetworkManager
nmcli -s connection show "Work" | grep -i password

A Linux, -s mostra secrets que NetworkManager d’una altra manera amaga. A macOS, l’ordre de Keychain imprimeix l’element desat, així que tracteu el desplaçament del terminal com a sensible. Si el client que falla és una aplicació de tercers amb la seva pròpia caixa forta, l’emmagatzematge del sistema semblarà correcte mentre l’aplicació guarda la seva pròpia còpia, i aquesta caixa forta és on pertoca el canvi.

Ocupeu-vos dels dispositius que són fora de línia

Portàtils que es desperten i es reconnecten sols continuaran presentant el secret antic mentre existeixi la seva còpia. Planifiqueu l’actualització perquè aquests dispositius es corregeixin abans que tornin a intentar-ho en bloc, i planteu-vos desactivar la connexió automàtica al perfil afectat fins que cadascun hagi passat pel flux compatible.

Per a una flota gestionada, canvieu el valor allà on es defineix la política. Editar una còpia local en un dispositiu la credencial del qual es proporciona de manera central és temporal en el millor cas; la propera actualització de la política restaura el valor antic i la fallada torna sense explicació.

Verifiqueu-ho amb un intent controlat

Actualitzeu l’entrada prevista, reconnecteu un cop i confirmeu que el túnel arriba a alguna cosa concreta. Un intent controlat produeix un error útil si falla, mentre que vint produeixen un compte bloquejat i un misteri. Si un client encara falla després de corregir l’emmagatzematge, captureu un sol error sense secrets i atureu-vos. Guardeu aquest error amb el nom del dispositiu perquè el proper torn comenci on vau acabar.

Un canvi de contrasenya no toca certificats, testimonis de sessió ni l’enregistrament d’MFA, i aquestes són identitats separades amb el seu propi cicle de vida. Un certificat renovat no es corregeix rotant una contrasenya, i un testimoni emès abans del restabliment encara pot ser vàlid. Acabeu anotant quin emmagatzematge tenia el valor antic, perquè el proper restabliment toparà amb la mateixa llista.