Ověřování VPN selhalo: málokdy je to port nebo DNS

Hlášení o selhání ověřování znamená, že služba přijala identitu a odmítla ji, což je užší tvrzení, než do něj většina lidí vkládá. Port je otevřený, relace TLS se možná dokončila a něco v pověřeních nebo v účtu bylo odmítnuto. Změna síťového nastavení to neopraví a opakování pokusu může účet uzamknout. Text chyby už fázi pojmenovává, tak začněte tam.

Chyba vám už řekla, která fáze selhala

Spojení, které nikdy nedokončí TLS handshake, se k ověřování vůbec nedostalo. Spojení, které handshake dokončí a poté ohlásí odmítnutí pověření, se k němu dostalo a tam selhalo. Tyto dva výsledky vyžadují jiné vyšetřování a často se pletou, protože oba končí zavřeným oknem.

OpenVPN činí rozdíl zjevným zprávou AUTH_FAILED od serveru, což je rozhodnutí, nikoli transportní chyba. Časový limit vyjednávání TLS nebo chyba ověření certifikátu patří k dřívější fázi. Přečtěte si, kterou z nich máte, než se dotknete pověření, protože reset hesla neopraví handshake a změna firewallu neopraví odmítnuté přihlášení. Jeden řádek klientského logu odpovídá na otázku.

Stejná logika platí pro relaci, která se připojí a později spadne. Selhání reautentizace ve čtyřicáté minutě je jiná závada než odmítnutí při prvním přihlášení a interval je vodítkem.

Potvrďte, že profil ukazuje na správnou službu

Účet používaný na webu poskytovatele není vždy účet, který přijímá jeho brána VPN. Uložený profil může také ukazovat na starou bránu dlouho poté, co se služba přestěhovala.

Porovnejte koncový bod v profilu s tím, který zveřejnil provozovatel, a zkontrolujte, který systém identity brána používá. Reset hesla na webovém portálu nic nezmění, pokud se tunel ověřuje proti samostatnému adresáři. Pověření pro nesouvisející veřejný server na vašem fungovat nebudou a testování pracovního hesla v profilu získaném přes nedůvěryhodnou zprávu je v každém případě špatná výměna. Před psaním čehokoli potvrďte původ.

Dvě minuty nad profilem zabrání dni hádání pověření.

Formát přihlášení je součástí pověření

Uživatelské jméno může vyžadovat formu e-mailu, předponu domény nebo příponu adresáře. Brána porovnává řetězec, který přijala, takže forma je součástí pověření, ne ozdoba.

Potom před eskalací vylučte nudné příčiny. Zkontrolujte rozložení klávesnice, případnou koncovou mezeru vloženou kopírováním a starý záznam ve správci hesel. Po resetu potvrďte, že VPN používá stejný zdroj identity jako stránka, kde se heslo změnilo. Pokud jsou tyto údaje správné, přestaňte hádat a zeptejte se provozovatele, zda je účet povolen a autorizován pro přístup k VPN. To je oprava na straně služby, nikoli nastavení klienta.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Řádek logu s AUTH_FAILED obvykle obsahuje kód důvodu nebo řetězec výzvy. Zkopírujte ho přesně, místo abyste ho při žádosti o pomoc parafrázovali.

Druhé faktory mají vlastní smlouvu

Profil může očekávat jednorázový kód, interaktivní výzvu nebo přihlášení v prohlížeči, které klientovi vrátí token. Použijte tok, který provozovatel podporuje, místo abyste vymýšleli vlastní.

Nepřipojujte kód k heslu, pokud to tento formát výslovně nevyžaduje, protože některá nasazení používají samostatné pole a některá řetězec výzvy. U časových kódů zkontrolujte hodiny zařízení, protože několik minut odchylky zneplatní každý kód. Pokud přihlášení v prohlížeči uspěje a klient se nikdy neobnoví, poznamenejte si přesně ten bod, protože označuje předání, nikoli pověření. Další reset hesla pravděpodobně nepomůže.

Limit relací je druhé časté odmítnutí. Pokud účet povoluje jednu relaci, druhé přihlášení může ukončit první a příznak vypadá jako blikající spojení, ne jako politika.

Certifikát není heslo

Klientský certifikát může vypršet nebo být odvolán, zatímco heslo účtu zůstává zcela správné. Předsloví soukromého klíče je zase třetí tajemství a chrání soubor, ne účet.

Přečtěte si chybu, než cokoli nahradíte, a poté získejte správnou náhradu od ověřeného provozovatele. Ponechte ověřování identity serveru zapnuté, dokud to děláte: přijetí nesouvisejícího certifikátu nebo zkopírování cizího soukromého klíče není oprava, ale druhý incident. Poté otestujte zdroj, který skutečně potřebujete, protože připojený tunel s nedostupnou službou patří k jinému vyšetřování. Zapište, která fáze selhala, aby další člověk nezačínal celý proces znovu.

Pokud se relace naváže a později selže, zaznamenejte interval a případné blízké události obnovy. Tento záznam odděluje problém životnosti tokenu od selhání prvního přihlášení a je rozdílem mezi pětiminutovou opravou a týdnem opakování.