VPN-i autentimine ebaõnnestus: harva on süüdi port või DNS

Autentimise ebaõnnestumine tähendab, et teenus sai identiteedi ja lükkas selle tagasi, mis on kitsam väide, kui enamik sellesse loeb. Port on avatud, TLS-seanss võis täielikult lõppeda ja midagi mandaatides või kontos lükati tagasi. Võrgusätete muutmine ei paranda seda ning katse kordamine võib konto lukustada. Veateade nimetab juba etapi, seega alustage sealt.

Viga ütles teile juba, milline etapp ebaõnnestus

Ühendus, mis ei lõpeta kunagi oma TLS-kätlust, ei ole autentimiseni üldse jõudnud. Ühendus, mis lõpetab kätluse ja teatab seejärel mandaatide tagasilükkamisest, on sinna jõudnud ja seal ebaõnnestunud. Need kaks tulemust nõuavad erinevat uurimist ja neid aetakse sageli segi, sest mõlemad lõpevad suletud aknaga.

OpenVPN teeb vahe selgeks serveri AUTH_FAILED-teatega, mis on otsus, mitte transpordiviga. TLS-läbirääkimiste ajalõpp või sertifikaadi kontrollimise viga kuulub varasemasse etappi. Lugege, milline neist teil on, enne kui mandaate puutute, sest parooli lähtestamine ei paranda kätlust ja tulemüüri muutmine ei paranda tagasi lükatud sisselogimist. Klientlogi üks rida vastab küsimusele.

Sama loogika kehtib seansi kohta, mis ühendub ja seejärel katkeb. Uuesti autentimise tõrge neljakümnendal minutil on teistsugune defekt kui tagasilükkamine esimesel sisselogimisel, ja intervall on vihje.

Kinnitage, et profiil osutab õigele teenusele

Pakkuja veebisaidil kasutatav konto ei ole alati konto, mille tema VPN-lüüs vastu võtab. Salvestatud profiil võib osutada ka vanale lüüsile kaua pärast teenuse kolimist.

Võrrelge profiili lõpp-punkti operaatori avaldatud lõpp-punktiga ja kontrollige, millist identiteedisüsteemi lüüs küsib. Veebiportaalis parooli lähtestamine ei muuda midagi, kui tunnel autendib eraldi kataloogi vastu. Sõltumatu avaliku serveri mandaadid ei tööta teie serveris ning tööparooli proovimine ebausaldusväärse sõnumi kaudu saadud profiilis on igal juhul halb vahetus. Kinnitage päritolu enne millegi sisestamist.

Kaks minutit profiili juures hoiab ära päeva mandaatide oletamist.

Sisselogimise vorming on osa mandaatidest

Kasutajanimi võib nõuda e-posti vormi, domeeni eesliidet või kataloogi järelliidet. Lüüs võrdleb saadud stringi, seega on vorm osa mandaatidest, mitte ehtekivi.

Seejärel välistage igavad põhjused enne eskaleerimist. Kontrollige klaviatuuri paigutust, kopeerimisel tekkinud lõppu tühikut ja vana kirjet paroolihalduris. Pärast lähtestamist kinnitage, et VPN kasutab sama identiteediallikat kui leht, kus parool muudeti. Kui need üksikasjad on õiged, lõpetage oletamine ja küsige operaatorilt, kas konto on lubatud ja VPN-juurdepääsuks volitatud. See on teenuse poole parandus, mitte kliendi säte.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

AUTH_FAILED-i kandev logirida sisaldab tavaliselt põhjusekoodi või väljakutse stringi. Kopeerige see täpselt, mitte ümber jutustades, kui abi palute.

Teistel teguritel on oma leping

Profiil võib oodata ühekordset koodi, interaktiivset väljakutset või brauseri sisselogimist, mis tagastab kliendile loa. Kasutage voogu, mida operaator toetab, selle asemel et seda ise välja mõelda.

Ärge lisage paroolile koodi, kui see vorming ei ole selgesõnaliselt nõutud, sest mõned juurutused kasutavad eraldi välja ja mõned väljakutse stringi. Ajapõhiste koodide puhul kontrollige seadme kella, sest paar minutit kõrvalekallet muudab iga koodi kehtetuks. Kui brauseri sisselogimine õnnestub ja klient ei jätka kunagi, märkige täpselt see punkt, sest see tähistab üleandmist, mitte mandaate. Veel üks parooli lähtestamine tõenäoliselt ei aita.

Seansilimiit on teine tavaline tagasilükkamine. Kui konto lubab ühe seansi, võib teine sisselogimine esimese lõpetada ja sümptom näeb välja nagu lehviv ühendus, mitte nagu poliitika.

Sertifikaat ei ole parool

Kliendisertifikaat võib aeguda või tühistada, samal ajal kui konto parool jääb täiesti õigeks. Privaatvõtme paroolifraas on jälle kolmas saladus ja see kaitseb faili, mitte kontot.

Lugege viga enne millegi asendamist ja hankige seejärel õige asendus kinnitatud operaatorilt. Hoidke serveri identiteedi kontrollimine sisse lülitatud, kui seda teete: sõltumatu sertifikaadi vastuvõtmine või kellegi teise privaatvõtme kopeerimine ei ole parandus, vaid teine juhtum. Seejärel testige ressurssi, mida tegelikult vajate, sest ühendatud tunnel kättesaamatu teenusega kuulub teise uurimise alla. Kirjutage üles, milline etapp ebaõnnestus, et järgmine inimene ei alustaks kogu protsessi otsast.

Kui seanss luuakse ja hiljem ebaõnnestub, registreerige intervall ja lähedased uuendamissündmused. See kirje eristab loa eluea probleemi esimese sisselogimise tõrkest ja see on vahe viie minuti paranduse ning nädala katsetuste vahel.