VPN-aŭtentikigo malsukcesis: malofte temas pri la pordo aŭ la DNS
Rifuzita ensaluto estas alia fiasko ol tempolimo. Kontrolu la profilon, la formaton de la legitimiloj, la duan faktoron kaj la atestilon antaŭ ol reprovi.
La mesaĝo pri malsukcesa aŭtentikigo signifas, ke la servo ricevis identecon kaj rifuzis ĝin, kio estas pli mallarĝa aserto ol plej multaj homoj legas en ĝin. La pordo estas malfermita, la TLS-sesio eble tute finiĝis, kaj io en la legitimiloj aŭ en la konto estis rifuzita. Ŝanĝi retajn agordojn ne povas tion ripari, kaj ripeti la provon povas ŝlosi la konton. La erarteksto jam nomas la etapon, do komencu tie.
La eraro jam diris al vi, kiu etapo malsukcesis
Konekto, kiu neniam finas sian TLS-manpremon, tute ne atingis aŭtentikigon. Konekto, kiu finas la manpremon kaj poste raportas rifuzon de legitimiloj, atingis ĝin kaj malsukcesis tie. Tiuj du rezultoj postulas malsamajn esplorojn, kaj ili ofte konfuziĝas ĉar ambaŭ finiĝas per fermita fenestro.
OpenVPN faras la distingon klara per AUTH_FAILED-mesaĝo de la servilo, kiu estas decido kaj ne transporta eraro. Tempolimo de TLS-traktado aŭ eraro de atestila kontrolo apartenas al la pli frua etapo. Legu, kiun vi havas, antaŭ ol tuŝi legitimilojn, ĉar pasvorta restarigo ne povas ripari manpremon kaj fajroŝirma ŝanĝo ne povas ripari rifuzitan ensaluton. Unu linio de la klienta protokolo respondas la demandon.
La sama logiko validas por sesio, kiu konektiĝas kaj poste falas. Malsukceso de reaŭtentikigo ĉe la kvardeka minuto estas alia difekto ol rifuzo ĉe la unua ensaluto, kaj la intervalo estas la indico.
Konfirmu, ke la profilo montras al la ĝusta servo
La konto uzata sur la retejo de provizanto ne ĉiam estas la konto, kiun akceptas ĝia VPN-enirejo. Konservita profilo ankaŭ povas montri al malnova enirejo longe post kiam la servo translokiĝis.
Komparu la finpunkton en la profilo kun tiu publikigita de la operatoro, kaj kontrolu, kiun identecsistemon la enirejo konsultas. Restarigo de pasvorto en reteja portalo ŝanĝas nenion, se la tunelo aŭtentikigas kontraŭ aparta dosierujo. Legitimiloj por nerilata publika servilo ne funkcios ĉe via, kaj testi laboran pasvorton en profilo ricevita per necerta mesaĝo estas malbona interŝanĝo ĉiuokaze. Konfirmu la originon antaŭ ol entajpi ion ajn.
Du minutoj da profilo malhelpas tagon de divenado de legitimiloj.
La ensaluta formato estas parto de la legitimiloj
Uzantnomo povas postuli retpoŝtan formon, domajnan prefikson aŭ dosierujan sufikson. La enirejo komparas la ĉenon, kiun ĝi ricevis, do la formo estas parto de la legitimiloj kaj ne ornamaĵo.
Poste ekskludu la enuajn kaŭzojn antaŭ ol eskali. Kontrolu la klavaran aranĝon, eblan finspacon enmetitan per kopiado, kaj malnovan enskribon en la pasvortadministrilo. Post restarigo konfirmu, ke la VPN uzas la saman identecfonto kiel la paĝo, kie la pasvorto ŝanĝiĝis. Se tiuj detaloj ĝustas, ĉesu diveni kaj demandu la operatoron, ĉu la konto estas ebligita kaj rajtigita por VPN-aliro. Tio estas korekto flanke de la servo, ne klienta agordo.
openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pagerLa protokola linio portanta AUTH_FAILED kutime inkluzivas kaŭzan kodon aŭ defian ĉenon. Kopiu ĝin precize anstataŭ parafrazi ĝin, kiam vi petas helpon.
Dujarangaj faktoroj havas sian propran kontrakton
La profilo povas atendi unufojan kodon, interagan defion aŭ retuman ensaluton, kiu redonas ĵetonon al la kliento. Uzu la fluon, kiun la operatoro subtenas, anstataŭ inventi unu.
Ne aldonu kodon al la pasvorto, krom se tiu formato estas eksplice postulata, ĉar kelkaj enkondukoj uzas apartan kampon kaj aliaj defian ĉenon. Por tempobazitaj kodoj kontrolu la horloĝon de la aparato, ĉar kelkaj minutoj da dekliniĝo nuligas ĉiun kodon. Se retuma ensaluto sukcesas kaj la kliento neniam rekomenciĝas, notu ĝuste tiun punkton, ĉar ĝi identigas la transdonon kaj ne la legitimilojn. Plia pasvorta restarigo verŝajne ne helpos.
Sesilimo estas la alia ofta rifuzo. Se la konto permesas unu sesion, dua ensaluto povas fini la unuan, kaj la simptomo aspektas kiel flirtanta konekto kaj ne kiel politiko.
Atestilo ne estas pasvorto
Klienta atestilo povas eksvalidiĝi aŭ esti revokita dum la konta pasvorto restas tute ĝusta. La pasfrazo de privata ŝlosilo estas denove tria sekreto, kaj ĝi protektas dosieron kaj ne konton.
Legu la eraron antaŭ ol anstataŭigi ion ajn, poste akiru la ĝustan anstataŭaĵon de la kontrolita operatoro. Tenu servilan identeckontrolon ŝaltita dum vi tion faras: akcepti nerilatan atestilon aŭ kopii ies privatan ŝlosilon ne estas riparo, ĝi estas dua okazaĵo. Poste testu la rimedon, kiun vi vere bezonas, ĉar konektita tunelo kun neatingebla servo apartenas al alia esploro. Notu, kiu etapo malsukcesis, por ke la sekva persono ne rekomencu la tutan procezon.
Se la sesio establiĝas kaj poste malsukcesas, registru la intervalon kaj eblajn proksimajn renovigajn eventojn. Tiu registro apartigas problemon de ĵetona vivdaŭro de malsukceso ĉe la unua ensaluto, kaj ĝi estas la diferenco inter kvinminuta ripariĝo kaj semajno da reprovoj.