VPN-todennus epäonnistui: harvoin syynä on portti tai DNS

Todennuksen epäonnistuminen tarkoittaa, että palvelu vastaanotti identiteetin ja hylkäsi sen, mikä on suppeampi väite kuin useimmat siihen lukevat. Portti on auki, TLS-istunto on ehkä kokonaan muodostunut ja jokin tunnistetiedoissa tai tilissä hylättiin. Verkkoasetusten muuttaminen ei korjaa sitä, ja yrityksen toistaminen voi lukita tilin. Virheteksti nimeää jo vaiheen, joten aloita siitä.

Virhe kertoi jo, mikä vaihe epäonnistui

Yhteys, joka ei koskaan saa TLS-kättelyä valmiiksi, ei ole lainkaan saavuttanut todennusta. Yhteys, joka saa kättelyn valmiiksi ja sitten ilmoittaa tunnistetietojen hylkäämisestä, on saavuttanut sen ja epäonnistui siinä. Nämä kaksi lopputulosta vaativat erilaiset tutkimukset, ja ne sekoitetaan usein, koska molemmat päättyvät suljettuun ikkunaan.

OpenVPN tekee eron selväksi palvelimen AUTH_FAILED-viestillä, joka on päätös eikä siirtovirhe. TLS-neuvottelun aikakatkaisu tai varmenteen vahvistusvirhe kuuluu aiempaan vaiheeseen. Lue, kumpi sinulla on, ennen kuin kosket tunnistetietoihin, koska salasanan palautus ei korjaa kättelyä eikä palomuurin muutos korjaa hylättyä kirjautumista. Yksi rivi asiakasohjelman lokia vastaa kysymykseen.

Sama logiikka pätee istuntoon, joka yhdistää ja katkeaa myöhemmin. Uudelleentodennuksen epäonnistuminen neljäntenäkymmenentenä minuuttina on eri vika kuin ensimmäisen kirjautumisen hylkäys, ja aikaväli on vihje.

Varmista, että profiili osoittaa oikeaan palveluun

Palveluntarjoajan verkkosivustolla käytetty tili ei ole aina se tili, jonka sen VPN-yhdyskäytävä hyväksyy. Tallennettu profiili voi myös osoittaa vanhaan yhdyskäytävään kauan sen jälkeen, kun palvelu on siirtynyt.

Vertaa profiilin päätepistettä operaattorin julkaisemaan ja tarkista, mitä identiteettijärjestelmää yhdyskäytävä käyttää. Salasanan palautus verkkoportaalissa ei muuta mitään, jos tunneli todentaa erillistä hakemistoa vasten. Asiaankuulumattoman julkisen palvelimen tunnistetiedot eivät toimi omassasi, ja työsalasanan kokeileminen epäluotettavan viestin kautta saadussa profiilissa on joka tapauksessa huono vaihtokauppa. Vahvista alkuperä ennen kuin kirjoitat mitään.

Kaksi minuuttia profiilin parissa estää päivän tunnistetietojen arvailua.

Kirjautumisen muoto on osa tunnistetietoja

Käyttäjätunnus voi vaatia sähköpostimuodon, verkkotunnuksen etuliitteen tai hakemiston jälkiliitteen. Yhdyskäytävä vertaa vastaanottamaansa merkkijonoa, joten muoto on osa tunnistetietoja eikä koristetta.

Sulje sitten pois tylsät syyt ennen eskalointia. Tarkista näppäimistöasettelu, kopioinnista tullut loppuväli ja vanha merkintä salasananhallinnassa. Vahvista palautuksen jälkeen, että VPN käyttää samaa identiteettilähdettä kuin sivu, jolla salasana vaihdettiin. Jos nämä tiedot ovat oikein, lopeta arvailu ja kysy operaattorilta, onko tili käytössä ja valtuutettu VPN-käyttöön. Se on palvelun puolen korjaus, ei asiakasasetus.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

AUTH_FAILED-merkinnän sisältävä lokirivi sisältää yleensä syykoodin tai haastesarjan. Kopioi se tarkasti sen sijaan, että muotoilisit sen uudelleen apua pyytäessäsi.

Toisilla tekijöillä on oma sopimuksensa

Profiili voi odottaa kertakäyttökoodia, vuorovaikutteista haastetta tai selainkirjautumista, joka palauttaa tunnisteen asiakasohjelmalle. Käytä operaattorin tukemaa kulkua sen sijaan, että keksit oman.

Älä liitä koodia salasanaan, ellei tätä muotoa nimenomaisesti vaadita, koska jotkin käyttöönotot käyttävät erillistä kenttää ja jotkut haastesarjaa. Aikapohjaisissa koodeissa tarkista laitteen kello, sillä muutaman minuutin poikkeama tekee jokaisen koodin kelvottomaksi. Jos selainkirjautuminen onnistuu eikä asiakasohjelma koskaan jatku, merkitse juuri se kohta, koska se osoittaa luovutuksen eikä tunnistetietoja. Uusi salasanan palautus tuskin auttaa.

Istuntoraja on toinen yleinen hylkäys. Jos tili sallii yhden istunnon, toinen kirjautuminen voi lopettaa ensimmäisen, ja oire näyttää lepattavalta yhteydeltä eikä käytännöltä.

Varmenne ei ole salasana

Asiakasvarmenteen voi vanhentua tai tulla mitätöidyksi, kun tilin salasana pysyy täysin oikeana. Yksityisavaimen salalause on taas kolmas salaisuus, ja se suojaa tiedostoa eikä tiliä.

Lue virhe ennen kuin korvaat mitään, ja hanki sitten oikea korvaava vahvistetulta operaattorilta. Pidä palvelimen identiteetin vahvistus päällä, kun teet sen: asiaankuulumattoman varmenteen hyväksyminen tai toisen yksityisavaimen kopioiminen ei ole korjaus vaan toinen tapaus. Testaa sitten resurssi, jota todella tarvitset, koska yhdistetty tunneli saavuttamattomalla palvelulla kuuluu toiseen tutkimukseen. Kirjoita muistiin, mikä vaihe epäonnistui, ettei seuraava henkilö aloita koko prosessia alusta.

Jos istunto muodostuu ja epäonnistuu myöhemmin, kirjaa aikaväli ja lähellä olevat uusintatapahtumat. Tämä kirjaus erottaa tunnisteen elinikäongelman ensimmäisen kirjautumisen epäonnistumisesta, ja se on ero viiden minuutin korjauksen ja viikon uusintayritysten välillä.