VPN-godkendelse mislykkedes: det er sjældent porten eller DNS

At godkendelsen mislykkedes betyder, at tjenesten modtog en identitet og afviste den, hvilket er et snævrere udsagn, end de fleste læser ind i det. Porten er åben, TLS-sessionen er muligvis gennemført, og noget i legitimationsoplysningerne eller kontoen blev afvist. Ændring af netværksindstillinger kan ikke rette det, og gentagne forsøg kan låse kontoen. Fejlteksten navngiver allerede trinnet, så start der.

Fejlen har allerede fortalt dig, hvilket trin der mislykkedes

En forbindelse, der aldrig fuldfører sit TLS-håndtryk, er slet ikke nået til godkendelse. En forbindelse, der fuldfører håndtrykket og derefter rapporterer en afvisning af legitimationsoplysninger, er nået dertil og mislykkedes der. De to udfald kræver forskellige undersøgelser, og de forveksles ofte, fordi begge ender med et lukket vindue.

OpenVPN gør forskellen tydelig med en AUTH_FAILED-meddelelse fra serveren, som er en beslutning og ikke en transportfejl. En timeout i TLS-forhandlingerne eller en certifikatverifikationsfejl hører til det tidligere trin. Læs, hvilken du har, før du rører ved legitimationsoplysningerne, for en nulstilling af adgangskoden kan ikke reparere et håndtryk, og en ændring af firewallen kan ikke reparere et afvist login. Én linje i klientloggen besvarer spørgsmålet.

Samme logik gælder for en session, der forbinder og derefter falder. En fejl ved genautentificering på minut fyrre er en anden fejl end en afvisning ved første login, og intervallet er ledetråden.

Bekræft, at profilen peger på den rigtige tjeneste

Den konto, der bruges på en udbyders websted, er ikke altid den konto, som udbyderens VPN-gateway accepterer. En gemt profil kan også pege på en gammel gateway længe efter, at tjenesten er flyttet.

Sammenlign endepunktet i profilen med det, operatøren har offentliggjort, og kontroller, hvilket identitetssystem gatewayen konsulterer. En nulstilling af adgangskoden på en webportal ændrer intet, hvis tunnelen godkender mod en separat mappe. Legitimationsoplysninger til en ubeslægtet offentlig server virker ikke på din, og at teste en arbejdsadgangskode i en profil, der er modtaget via en upålidelig besked, er under alle omstændigheder en dårlig handel. Bekræft oprindelsen, før du skriver noget.

To minutter på profilen forhindrer en dag med gætteri på legitimationsoplysninger.

Loginformatet er en del af legitimationsoplysningerne

Et brugernavn kan kræve en e-mailform, et domænepræfiks eller et mappesuffiks. Gatewayen sammenligner den streng, den modtog, så formen er en del af legitimationsoplysningerne og ikke pynt.

Udeluk derefter de kedelige årsager, før du eskalerer. Kontroller tastaturlayoutet, ethvert afsluttende mellemrum fra en kopiering og en gammel post i adgangskodeadministratoren. Efter en nulstilling skal du bekræfte, at VPN'en bruger samme identitetskilde som den side, hvor adgangskoden blev ændret. Hvis disse detaljer er korrekte, så hold op med at gætte og spørg operatøren, om kontoen er aktiveret og autoriseret til VPN-adgang. Det er en rettelse på tjenestesiden, ikke en klientindstilling.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Loglinjen med AUTH_FAILED indeholder normalt en årsagskode eller en udfordringsstreng. Kopiér den præcist i stedet for at gengive den, når du beder om hjælp.

Andre faktorer har deres egen kontrakt

Profilen kan forvente en engangskode, en interaktiv udfordring eller et browserlogin, der giver klienten et token tilbage. Brug det flow, operatøren understøtter, i stedet for at opfinde et.

Tilføj ikke en kode til adgangskoden, medmindre det format udtrykkeligt kræves, fordi nogle installationer bruger et separat felt og andre en udfordringsstreng. Kontroller enhedens ur ved tidsbaserede koder, da få minutters afvigelse gør hver kode ugyldig. Hvis browserlogin lykkes, og klienten aldrig genoptages, skal du notere netop det punkt, fordi det identificerer overdragelsen og ikke legitimationsoplysningerne. Endnu en nulstilling af adgangskoden hjælper næppe.

En sessionsgrænse er den anden almindelige afvisning. Hvis kontoen tillader én session, kan et andet login afslutte det første, og symptomet ligner en flagrende forbindelse snarere end en politik.

Et certifikat er ikke en adgangskode

Et klientcertifikat kan udløbe eller tilbagekaldes, mens kontoens adgangskode forbliver helt korrekt. En adgangssætning til en privat nøgle er igen en tredje hemmelighed, og den beskytter en fil og ikke en konto.

Læs fejlen, før du erstatter noget, og skaf derefter den korrekte erstatning fra den verificerede operatør. Hold serveridentitetsverifikation slået til, mens du gør det: at acceptere et ubeslægtet certifikat eller kopiere en andens private nøgle er ikke en reparation, det er en ny hændelse. Test derefter den ressource, du faktisk har brug for, fordi en forbundet tunnel med en utilgængelig tjeneste hører til en anden undersøgelse. Skriv ned, hvilket trin der mislykkedes, så den næste person ikke starter hele processen forfra.

Hvis sessionen etableres og senere fejler, skal du registrere intervallet og eventuelle nærliggende fornyelseshændelser. Den registrering adskiller et problem med tokenets levetid fra en fejl ved første login, og det er forskellen mellem en fem minutters rettelse og en uges gentagne forsøg.