Jedno zařízení se po resetu hesla VPN stále nepřipojí
Nové heslo funguje všude kromě jednoho klienta. Najděte úložiště, které stále drží starou hodnotu, omezte pokusy a ověřte to jedním pokusem.
Heslo jste resetovali, otestovali v portálu a jeden notebook se stále nemůže připojit. První instinkt je resetovat ho znovu, a právě tak se účet zamkne a zastaralé tajemství se změní v incident. Klient VPN málokdy žádá heslo pokaždé; požádá jednou a odpověď uloží někam, co jste si nevybrali. Najít to místo je celá práce a je to rychlejší než další reset.
Ověřte, co každý klient skutečně odesílá
Zkontrolujte účet, doménu a bránu na nefunkčním klientu, než budete předpokládat, že problémem je heslo. Přihlášení do webového portálu může používat jiný systém identit než samotná VPN, takže úspěšné přihlášení do portálu nic neříká o autentizaci protokolu. Některá nasazení přijímají v portálu e-mail a v tunelu jiné uživatelské jméno. Ověřte, kterou identitu je klient nakonfigurován předkládat, než cokoli resetujete.
Přečtěte text chyby a klasifikujte ji. Selhání certifikátu, vypršelá výzva nebo nepodporovaná šifra není zastaralé heslo, a jejich řešení jako zastaralého hesla vytváří smyčku resetů bez účinku. Pokud služba uplatňuje politiku zámku, zastavte se po dvou nebo třech neúspěšných pokusech a před pokračováním ověřte stav účtu.
Vyjmenujte úložiště místo hádání
Čtyři úložiště drží tajemství VPN a tabulka níže u každého ukazuje, kde hodnota přežívá a co její smazání skutečně znamená. Nativní profil operačního systému drží tajemství v úložišti přihlašovacích údajů platformy, a proto může záznam přežít aplikaci, která ho zapsala. Konfigurační soubor klienta drží hodnotu tam, kde ji klient čte, buď přímo, nebo v odkazovaném souboru autentizace, takže úprava jiného souboru nic nezmění. Cookie portálu a přihlašovací údaj doručený zásadou žijí někde, co zařízení ve skutečnosti nevlastní, a to určuje, kdo je smí měnit.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Kontrolujte je v pevném pořadí: nejprve úložiště přihlašovacích údajů operačního systému, protože to klient standardně oslovuje, potom vlastní trezor nebo konfigurační soubor klienta, poté relace prohlížeče a nakonec zásada, která může přepsat všechny tři. Pořadí je důležité, protože pozdější úložiště může tiše obnovit dřívější a vy opravíte špatnou vrstvu, zatímco porucha přetrvává. Zapište, které úložiště jste změnili, protože právě tato poznámka dělá z dalšího resetu práci na dvě minuty místo na celé odpoledne.
Podívejte se do úložiště, které klient skutečně používá
Přečtěte si to před smazáním, abyste věděli, který záznam patřil VPN. Příkazy níže spíše vypisují a zkoumají než odstraňují, což udržuje diagnózu vratnou.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordV Linuxu -s ukazuje tajemství, která NetworkManager jinak skrývá. V macOS příkaz Keychain vypíše uloženou položku, takže s posunem terminálu zacházejte jako s citlivým údajem. Pokud je nefunkčním klientem aplikace třetí strany s vlastním trezorem, úložiště operačního systému bude vypadat správně, zatímco aplikace si drží vlastní kopii, a právě v tom trezoru se má změna provést.
Postarejte se o zařízení, která jsou offline
Notebooky, které se samy probouzejí a znovu připojují budou předkládat staré tajemství, dokud jejich kopie existuje. Naplánujte aktualizaci tak, aby tato zařízení byla opravena dřív, než se najednou znovu pokusí, a zvažte vypnutí automatického připojení u postiženého profilu, dokud každé neprojde podporovaným postupem.
U spravované flotily změňte hodnotu tam, kde je definována zásada. Úprava místní kopie na zařízení, jehož přihlašovací údaj je zřizován centrálně, je v nejlepším případě dočasná; další obnovení zásady vrátí starou hodnotu a porucha se vrátí bez vysvětlení.
Ověřte jedním kontrolovaným pokusem
Aktualizujte zamýšlený záznam, jednou se znovu připojte a ověřte, že tunel dosáhne na něco konkrétního. Jeden kontrolovaný pokus dá při selhání použitelnou chybu, zatímco dvacet dá zamčený účet a záhadu. Pokud klient po opravě úložiště stále selhává, zachyťte jednu chybu bez tajemství a zastavte se. Uchovejte tu chybu s názvem zařízení, aby další směna začala tam, kde jste skončili.
Změna hesla se nedotýká certifikátů, relací ani registrace MFA a to jsou oddělené identity s vlastním životním cyklem. Obnovený certifikát se rotací hesla neopraví a token vydaný před resetem může být stále platný. Skončete tím, že zapíšete, které úložiště drželo zastaralou hodnotu, protože další reset narazí na stejný seznam.