L’autenticació VPN ha fallat: rares vegades és el port o el DNS

Que l’autenticació hagi fallat vol dir que el servei va rebre una identitat i la va rebutjar, una afirmació més estreta del que la majoria hi llegeix. El port és obert, la sessió TLS probablement s’ha completat i alguna cosa de les credencials o del compte ha estat rebutjada. Canviar la configuració de xarxa no ho arregla, i repetir l’intent pot bloquejar el compte. El text de l’error ja indica l’etapa, així que comenceu per aquí.

L’error ja us ha dit quina etapa ha fallat

Una connexió que mai completa l’encaixada de mans TLS no ha arribat gens a l’autenticació. Una connexió que completa l’encaixada i després informa d’un rebuig de credencials hi ha arribat i ha fallat allà. Aquests dos resultats necessiten investigacions diferents, i sovint es confonen perquè tots dos acaben amb una finestra tancada.

OpenVPN fa explícita la distinció amb un missatge AUTH_FAILED del servidor, que és una decisió i no un error de transport. Un temps d’espera de negociació TLS o un error de verificació del certificat pertanyen a l’etapa anterior. Llegiu quin dels dos teniu abans de tocar les credencials, perquè restablir la contrasenya no pot reparar una encaixada i canviar el firewall no pot reparar un inici de sessió rebutjat. Una línia del registre del client respon la pregunta.

La mateixa lògica s’aplica a una sessió que es connecta i després cau. Una fallada de reautenticació al minut quaranta és un defecte diferent d’un rebuig al primer inici de sessió, i l’interval és la pista.

Confirmeu que el perfil apunta al servei correcte

El compte que es fa servir al lloc web d’un proveïdor no sempre és el compte que accepta la seva passarel·la VPN. Un perfil desat també pot apuntar a una passarel·la antiga molt després que el servei s’hagi traslladat.

Compareu el punt final del perfil amb el que l’operador ha publicat i comproveu quin sistema d’identitat consulta la passarel·la. Restablir la contrasenya al portal web no canvia res si el túnel s’autentica contra un directori separat. Les credencials d’un servidor públic no relacionat no funcionaran al vostre, i provar una contrasenya de feina en un perfil rebut per un missatge no fiable és un mal intercanvi en qualsevol cas. Confirmeu l’origen abans d’escriure res.

Dos minuts al perfil eviten un dia d’endevinar credencials.

El format d’inici de sessió forma part de les credencials

Un nom d’usuari pot necessitar una forma d’adreça electrònica, un prefix de domini o un sufix de directori. La passarel·la compara la cadena que ha rebut, així que la forma és part de les credencials i no un adorn.

Després descarteu les causes avorrides abans d’escalar. Comproveu la distribució del teclat, qualsevol espai final introduït en copiar i una entrada antiga del gestor de contrasenyes. Després d’un restabliment, confirmeu que la VPN fa servir la mateixa font d’identitat que la pàgina on s’ha canviat la contrasenya. Si aquests detalls són correctes, deixeu d’endevinar i pregunteu a l’operador si el compte està habilitat i autoritzat per a l’accés VPN. Això és una correcció del costat del servei, no un paràmetre del client.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

La línia del registre que porta AUTH_FAILED sol incloure un codi de motiu o una cadena de desafiament. Copieu-la exactament en lloc de parafrasejar-la quan demaneu ajuda.

Els segons factors tenen el seu propi contracte

El perfil pot esperar un codi d’un sol ús, un desafiament interactiu o un inici de sessió al navegador que retorna un testimoni al client. Feu servir el flux que admet l’operador en lloc d’inventar-ne un.

No afegiu cap codi a la contrasenya tret que aquest format sigui explícitament necessari, perquè alguns desplegaments fan servir un camp separat i d’altres una cadena de desafiament. Per als codis basats en el temps, comproveu el rellotge del dispositiu, ja que uns quants minuts de desviació invaliden tots els codis. Si l’inici de sessió al navegador té èxit i el client no es reprèn mai, anoteu exactament aquest punt, perquè identifica el lliurament i no la credencial. Un altre restabliment de contrasenya probablement no ajudarà.

El límit de sessions és l’altre rebuig habitual. Si el compte permet una sola sessió, un segon inici de sessió pot aturar el primer, i el símptoma sembla una connexió intermitent i no una política.

Un certificat no és una contrasenya

Un certificat de client pot caducar o ser revocat mentre la contrasenya del compte continua perfectament correcta. La frase de pas de la clau privada torna a ser un tercer secret, i protegeix un fitxer i no un compte.

Llegiu l’error abans de substituir res i després obteniu la substitució correcta de l’operador verificat. Manteniu activada la verificació d’identitat del servidor mentre ho feu: acceptar un certificat no relacionat o copiar la clau privada d’una altra persona no és una reparació, és un segon incident. Després proveu el recurs que realment necessiteu, perquè un túnel connectat amb un servei inabastable pertany a una altra investigació. Anoteu quina etapa ha fallat perquè la persona següent no reiniciï tot el procés.

Si la sessió s’estableix i falla més tard, registreu l’interval i qualsevol esdeveniment de renovació proper. Aquest registre separa un problema de durada del testimoni d’una fallada al primer inici de sessió, i és la diferència entre una reparació de cinc minuts i una setmana de reintents.