Yksi laite ei edelleenkään yhdistä VPN-salasanan nollauksen jälkeen
Uusi salasana toimii kaikkialla paitsi yhdessä asiakkaassa. Etsi varasto, jossa vanha arvo on yhä, rajaa yritykset ja varmista yhdellä yrityksellä.
Nollasit salasanan, testasit sitä portaalissa, ja yksi kannettava ei silti saa yhteyttä. Vaisto sanoo nollata se uudelleen, ja juuri niin tili lukittuu ja vanhentunut salaisuus muuttuu tapaukseksi. VPN-asiakas pyytää harvoin salasanaa joka kerta; se pyytää kerran ja tallentaa vastauksen paikkaan, jota et valinnut. Tuon paikan löytäminen on koko työ, ja se on nopeampaa kuin uusi nollaus.
Varmista, mitä kukin asiakas todella lähettää
Tarkista tili, verkkotunnus ja yhdyskäytävä epäonnistuvasta asiakkaasta ennen kuin oletat salasanan olevan ongelma. Verkkoportaalin kirjautuminen voi käyttää eri identiteettijärjestelmää kuin itse VPN, joten onnistunut portaalikirjautuminen ei kerro mitään protokollan todennuksesta. Jotkin käyttöönotot hyväksyvät portaalissa sähköpostin ja tunnelissa eri käyttäjänimen. Varmista, minkä identiteetin asiakas on määritetty esittämään, ennen kuin nollaat mitään.
Lue virheteksti ja luokittele se. Varmenteen virhe, vanhentunut haaste tai tukematon salaus ei ole vanhentunut salasana, ja sen käsitteleminen sellaisena tuottaa vaikutuksettoman nollauskierron. Jos palvelussa on lukituskäytäntö, pysähdy kahden tai kolmen epäonnistuneen yrityksen jälkeen ja varmista tilin tila ennen jatkamista.
Luettele varastot arvaamisen sijaan
Neljä varastoa pitää VPN-salaisuutta, ja alla oleva taulukko näyttää kullekin, missä arvo säilyy ja mitä sen tyhjentäminen todella tarkoittaa. Käyttöjärjestelmän natiivi profiili pitää salaisuuden alustan tunnistetietovarastossa, minkä vuoksi merkintä voi elää pidempään kuin sen kirjoittanut sovellus. Asiakkaan asetustiedosto pitää arvon siinä, missä kyseinen asiakas lukee sen, joko rivinsisäisesti tai viitatussa todennustiedostossa, joten toisen tiedoston muokkaaminen ei muuta mitään. Selainportaalin eväste ja käytännön toimittama tunnistetieto elävät paikassa, jota laite ei oikeastaan omista, ja se ratkaisee, kuka saa muuttaa niitä.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Tarkista ne kiinteässä järjestyksessä: ensin käyttöjärjestelmän tunnistetietovarasto, koska asiakas kysyy sitä oletuksena, sitten asiakkaan oma holvi tai asetustiedosto, sitten selaimen istunto ja lopuksi käytäntö, joka voi korvata kaikki kolme. Järjestys on tärkeä, koska myöhempi varasto voi hiljaa palauttaa aiemman, ja korjaat väärää kerrosta vian jatkuessa. Kirjoita muistiin, mitä varastoa muutit, sillä juuri se muistiinpano tekee seuraavasta nollauksesta kahden minuutin työn kokonaisen iltapäivän sijaan.
Katso varastosta, jota asiakas todella käyttää
Lue ennen poistamista, jotta tiedät, mikä merkintä kuului VPN:lle. Alla olevat komennot listaavat ja tutkivat poistamisen sijaan, mikä pitää diagnoosin peruutettavana.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordLinuxissa -s näyttää salaisuudet, jotka NetworkManager muuten piilottaa. macOSissa Keychain-komento tulostaa tallennetun kohteen, joten käsittele päätteen vierityshistoriaa arkaluonteisena. Jos epäonnistuva asiakas on kolmannen osapuolen sovellus, jolla on oma holvi, käyttöjärjestelmän varasto näyttää oikealta, kun sovellus pitää omaa kopiotaan, ja juuri siihen holviin muutos kuuluu.
Käsittele laitteet, jotka ovat offline-tilassa
Kannettavat, jotka heräävät ja yhdistävät itsestään uudelleen esittävät vanhaa salaisuutta niin kauan kuin niiden kopio on olemassa. Suunnittele päivitys niin, että nuo laitteet korjataan ennen kuin ne yrittävät uudelleen ryppäänä, ja harkitse automaattisen yhteyden poistamista käytöstä kyseisessä profiilissa, kunnes jokainen on käynyt tuetun kulun läpi.
Hallitussa laivueessa muuta arvoa siellä, missä käytäntö on määritelty. Paikallisen kopion muokkaaminen laitteessa, jonka tunnistetieto toimitetaan keskitetysti, on parhaimmillaan tilapäistä; seuraava käytännön päivitys palauttaa vanhan arvon ja vika palaa ilman selitystä.
Varmista yhdellä hallitulla yrityksellä
Päivitä aiottu merkintä, yhdistä kerran uudelleen ja varmista, että tunneli saavuttaa jotain konkreettista. Yksi hallittu yritys tuottaa käyttökelpoisen virheen epäonnistuessaan, kun taas kaksikymmentä tuottaa lukitun tilin ja arvoituksen. Jos asiakas epäonnistuu yhä varaston korjaamisen jälkeen, tallenna yksi salaisuudeton virhe ja pysähdy. Pidä virhe laitteen nimen kanssa, jotta seuraava vuoro alkaa siitä, mihin lopetit.
Salasanan vaihtaminen ei kosketa varmenteita, istuntotunnuksia tai MFA-rekisteröintiä, ja ne ovat erillisiä identiteettejä omalla elinkaarellaan. Uusittua varmennetta ei korjata salasanaa kierrättämällä, ja ennen nollausta myönnetty tunnus voi olla yhä voimassa. Lopeta kirjoittamalla muistiin, missä varastossa vanhentunut arvo oli, sillä seuraava nollaus osuu samaan luetteloon.