Jeden uživatel se nemůže přihlásit k VPN: uspořádaná diagnostika

Když se jeden člověk nedokáže připojit, zatímco zbytek týmu dál pracuje, užitečná otázka není, co je rozbité, ale která vrstva se neshodla. Přihlášení je řetěz: klient se spustí, brána odpoví, identita se uplatní, druhý faktor se splní, zásada se vyhodnotí a teprve potom proudí provoz. Přerušení kdekoli v tomto řetězu k vám dorazí jako stejná věta od uživatele, takže prvním úkolem je najít článek, který skutečně selhal.

Berte hlášení jako výchozí bod, ne jako diagnózu. Níže uvedené kontroly jdou od nejlevnější, a každá je napsaná tak, aby vyšetřování ukončila, když selže.

Určete fázi a časové razítko

Než se dotknete jakékoli konfigurace, zapište si čtyři věci: klienta a jeho verzi, přesnou formulaci na obrazovce, minutu pokusu a síť, ve které dotyčný byl. Formulace nese skutečnou informaci, protože odmítnuté přihlašovací údaje, brána, která neodpovídá, a dokončené přihlášení, které přesto nedokáže otevřít interní stránku, jsou tři různé problémy se třemi různými vlastníky. Všimněte si, zda klient vytvořil místní řádek protokolu, protože klient, který nikdy neposlal paket, nemá k hledání na straně serveru co dodat. S uloženým časovým razítkem se každý další dotaz stává vyhledáním, nikoli honem.

V tomto bodě přestaňte hádat hesla. Tam, kde má účet limit opakování, může dávka rychlých pokusů účet uzamknout a přidat druhou, umělou závadu na tu skutečnou. Zaznamenejte, kolik pokusů už proběhlo, aby se uzamčení později nepletlo s novým příznakem. Uzamčený účet vám také bere schopnost rozeznat špatné heslo od odmítnuté zásady, protože obojí dorazí jako odmítnutí.

Přečtěte událost identity pro tento jediný pokus

Požádejte správce, aby vytáhl záznam o ověření, který odpovídá minutě, kterou jste si zapsali. V nasazení Windows NPS průvodce odstraňováním potíží s NPS od Microsoftu dokumentuje událost odmítnutí 6273 spolu s kódem důvodu, který ji doprovází, a ten obvykle oddělí neznámého uživatele, špatné přihlašovací údaje, nesoulad zásady a hovor ukončený z nesouvisejícího důvodu.

Prázdný výsledek je také informace. Jestliže se do služby identity nedostalo nic, pokus zemřel dřív: zastaralá adresa brány v profilu, naslouchací proces, ke kterému se klient nedostane, nebo hostitel vyřazený z provozu, zatímco profil dál žil. Jestliže záznam existuje a hlásí úspěch, přihlašovací údaje nejsou problém a argument se přesouvá k autorizaci nebo ke směrování za bránou. Tyto dva výsledky ukazují opačným směrem, a proto musí hledání v protokolech proběhnout dřív, než někdo přeinstaluje klienta.

Kód důvodu si nechte v tiketu. Toto jediné pole promění příští výskyt v pětiminutové vyhledání místo opakovaného vyšetřování. Spárujte ho s verzí klienta, protože kód, který se objeví v jednom sestavení, je jiná konverzace než kód, který se objeví v každém sestavení.

Měňte jednu podmínku po druhé, v rámci zásad

Pokušení je přeinstalovat klienta, resetovat heslo a přesunout notebook do jiné sítě v jednom kroku. To někdy opraví příznak a vždy zničí důkazy. Vyberte místo toho jednu povolenou záměnu: stejný člověk na druhém zapsaném zařízení, nebo schválená testovací identita na stejném zařízení. Každá záměna odpovídá přesně na jednu otázku, takže úspěch zúží závadu na stranu, kterou jste změnili, místo aby obviňoval VPN jako celek.

Pro toto srovnání si nepůjčujte přihlašovací údaje kolegy. Použijte testovací identitu přes podporovaný proces a nikdy nekopírujte klíč zařízení ani nepřeskakujte registraci proto, že by to bylo rychlejší. Tam, kde zásady záměnu úplně zakazují, je toto omezení součástí testovaného systému a patří do záznamu, ne do obcházení.

Potvrďte opravu na původní cestě

Když je rozbitý článek určen, opravte jen ten a zopakujte původní pokus: stejný člověk, stejné zařízení, stejná síť, stejná aplikace. Testovací účet, který se připojí z administrátorské VLAN, dokazuje, že brána žije, a nic nedokazuje o uživatelově úterním ránu. Požádejte uživatele, aby provedl akci, která selhala, a ne jednodušší, protože úspěšný ping říká málo o odmítnuté sdílené složce.

Uzavřete tiket tím, co bylo vyloučeno a co se změnilo. Tato poznámka je rozdíl mezi jednorázovou záchranou a něčím, co příští pohotovostní technik může znovu použít.