Μία συσκευή εξακολουθεί να αποτυγχάνει μετά την επαναφορά του κωδικού πρόσβασης VPN
Ο νέος κωδικός λειτουργεί παντού εκτός από έναν πελάτη. Βρείτε την αποθήκη που κρατά ακόμη την παλιά τιμή, περιορίστε τις προσπάθειες και επαληθεύστε με μία προσπάθεια.
Επαναφέρατε τον κωδικό πρόσβασης, τον δοκιμάσατε στην πύλη, και ένας φορητός υπολογιστής ακόμη δεν μπορεί να συνδεθεί. Το ένστικτο λέει να τον επαναφέρετε ξανά, και έτσι ακριβώς κλειδώνεται ένας λογαριασμός και ένα παλιό μυστικό γίνεται περιστατικό. Ένας πελάτης VPN σπάνια ζητά κωδικό πρόσβασης κάθε φορά· τον ζητά μία φορά και αποθηκεύει την απάντηση κάπου που δεν επιλέξατε εσείς. Η εύρεση αυτού του σημείου είναι όλη η δουλειά, και είναι ταχύτερη από μια ακόμη επαναφορά.
Επιβεβαιώστε τι στέλνει πραγματικά κάθε πελάτης
Ελέγξτε τον λογαριασμό, τον τομέα και την πύλη στον πελάτη που αποτυγχάνει πριν υποθέσετε ότι το πρόβλημα είναι ο κωδικός. Η σύνδεση στη διαδικτυακή πύλη μπορεί να χρησιμοποιεί διαφορετικό σύστημα ταυτότητας από το ίδιο το VPN, άρα μια επιτυχημένη σύνδεση στην πύλη δεν λέει τίποτα για τον έλεγχο ταυτότητας του πρωτοκόλλου. Ορισμένες εγκαταστάσεις δέχονται email στην πύλη και διαφορετικό όνομα χρήστη στη σήραγγα. Επιβεβαιώστε ποια ταυτότητα έχει ρυθμιστεί να παρουσιάζει ο πελάτης πριν επαναφέρετε οτιδήποτε.
Διαβάστε το κείμενο του σφάλματος και ταξινομήστε το. Αποτυχία πιστοποιητικού, ληγμένη πρόκληση ή μη υποστηριζόμενος κρυπτογράφος δεν είναι παλιός κωδικός, και η αντιμετώπισή του ως τέτοιου δημιουργεί βρόχο επαναφορών χωρίς αποτέλεσμα. Αν η υπηρεσία έχει πολιτική κλειδώματος, σταματήστε μετά από δύο ή τρεις αποτυχημένες προσπάθειες και επιβεβαιώστε την κατάσταση του λογαριασμού πριν συνεχίσετε.
Απαριθμήστε τις αποθήκες αντί να μαντεύετε
Τέσσερις αποθήκες κρατούν ένα μυστικό VPN, και ο πίνακας παρακάτω δείχνει για καθεμία πού επιβιώνει η τιμή και τι σημαίνει στην πραγματικότητα η εκκαθάρισή της. Ένα εγγενές προφίλ OS κρατά το μυστικό στην αποθήκη διαπιστευτηρίων της πλατφόρμας, γι' αυτό η καταχώριση μπορεί να επιβιώσει περισσότερο από την εφαρμογή που την έγραψε. Ένα αρχείο ρυθμίσεων πελάτη κρατά την τιμή εκεί όπου τη διαβάζει ο πελάτης, είτε ενσωματωμένη είτε σε αναφερόμενο αρχείο ελέγχου ταυτότητας, άρα η επεξεργασία άλλου αρχείου δεν αλλάζει τίποτα. Ένα cookie πύλης και ένα διαπιστευτήριο που παρέχεται από πολιτική ζουν κάπου που η συσκευή δεν κατέχει πραγματικά, και αυτό καθορίζει ποιος επιτρέπεται να τα αλλάξει.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Ελέγξτε τις με σταθερή σειρά: πρώτα την αποθήκη διαπιστευτηρίων του OS, γιατί αυτή συμβουλεύεται ο πελάτης από προεπιλογή, μετά το δικό του θησαυροφυλάκιο ή αρχείο ρυθμίσεων, έπειτα τη συνεδρία του προγράμματος περιήγησης και τέλος την πολιτική που μπορεί να αντικαταστήσει και τις τρεις. Η σειρά μετράει γιατί μια μεταγενέστερη αποθήκη μπορεί να επαναφέρει σιωπηλά μια προγενέστερη, και θα έχετε διορθώσει το λάθος επίπεδο ενώ η αποτυχία παραμένει. Σημειώστε ποια αποθήκη αλλάξατε, γιατί αυτή η σημείωση κάνει την επόμενη επαναφορά δουλειά δύο λεπτών αντί για ένα απόγευμα.
Κοιτάξτε στην αποθήκη που χρησιμοποιεί πραγματικά ο πελάτης
Διαβάστε πριν διαγράψετε, ώστε να ξέρετε ποια καταχώριση ανήκε στο VPN. Οι παρακάτω εντολές καταγράφουν και επιθεωρούν αντί να αφαιρούν, κάτι που κρατά τη διάγνωση αναστρέψιμη.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordΣτο Linux, το -s εμφανίζει μυστικά που το NetworkManager κρύβει διαφορετικά. Στο macOS, η εντολή Keychain εκτυπώνει το αποθηκευμένο στοιχείο, οπότε αντιμετωπίστε το ιστορικό του τερματικού ως ευαίσθητο. Αν ο πελάτης που αποτυγχάνει είναι εφαρμογή τρίτου κατασκευαστή με δικό της θησαυροφυλάκιο, η αποθήκη του OS θα φαίνεται σωστή ενώ η εφαρμογή κρατά το δικό της αντίγραφο, και εκείνο το θησαυροφυλάκιο είναι το σημείο της αλλαγής.
Χειριστείτε τις συσκευές που είναι εκτός σύνδεσης
Φορητοί υπολογιστές που ξυπνούν και επανασυνδέονται μόνοι τους θα συνεχίσουν να παρουσιάζουν το παλιό μυστικό όσο υπάρχει το αντίγραφό τους. Σχεδιάστε την ενημέρωση ώστε αυτές οι συσκευές να διορθωθούν πριν δοκιμάσουν ξανά μαζικά, και εξετάστε το ενδεχόμενο να απενεργοποιήσετε την αυτόματη σύνδεση στο επηρεαζόμενο προφίλ μέχρι καθεμία να περάσει από την υποστηριζόμενη ροή.
Για ένα διαχειριζόμενο στόλο, αλλάξτε την τιμή εκεί όπου ορίζεται η πολιτική. Η επεξεργασία τοπικού αντιγράφου σε συσκευή της οποίας το διαπιστευτήριο παρέχεται κεντρικά είναι το πολύ προσωρινή· η επόμενη ανανέωση πολιτικής επαναφέρει την παλιά τιμή και η αποτυχία επιστρέφει χωρίς εξήγηση.
Επαληθεύστε με μία ελεγχόμενη προσπάθεια
Ενημερώστε την προβλεπόμενη καταχώριση, συνδεθείτε ξανά μία φορά και επιβεβαιώστε ότι η σήραγγα φτάνει σε κάτι συγκεκριμένο. Μία ελεγχόμενη προσπάθεια παράγει χρησιμοποιήσιμο σφάλμα αν αποτύχει, ενώ είκοσι παράγουν κλειδωμένο λογαριασμό και ένα αίνιγμα. Αν ένας πελάτης εξακολουθεί να αποτυγχάνει αφού διορθωθεί η αποθήκη, καταγράψτε ένα μόνο σφάλμα χωρίς μυστικά και σταματήστε. Κρατήστε αυτό το σφάλμα με το όνομα της συσκευής ώστε η επόμενη βάρδια να ξεκινά εκεί που τελειώσατε.
Η αλλαγή κωδικού δεν αγγίζει πιστοποιητικά, token συνεδρίας ή εγγραφή MFA, και αυτές είναι ξεχωριστές ταυτότητες με δικό τους κύκλο ζωής. Ένα ανανεωμένο πιστοποιητικό δεν διορθώνεται με περιστροφή κωδικού, και ένα token που εκδόθηκε πριν την επαναφορά μπορεί να ισχύει ακόμη. Ολοκληρώστε σημειώνοντας ποια αποθήκη κρατούσε την παλιά τιμή, γιατί η επόμενη επαναφορά θα χτυπήσει την ίδια λίστα.