Quel élément du trousseau garde votre connexion VPN obsolète ?

Regardez le Mac proposer un ancien mot de passe, regardez la connexion échouer, et l’étape suivante évidente devient une réinitialisation complète du trousseau. Cette correction est coûteuse et vise généralement le mauvais élément. Un mot de passe obsolète, un certificat expiré et un compte verrouillé produisent tous un refus, et un seul d’entre eux vit dans une entrée de trousseau que vous pouvez supprimer. Lisez l’invite avant de supprimer quoi que ce soit.

Trois échecs, trois suppressions différentes

Le mot de passe du compte est un secret que le client envoie à la passerelle, et le supprimer oblige l’utilisateur à en saisir un nouveau. La phrase secrète d’une clé privée déverrouille un fichier de clé, donc supprimer l’entrée de phrase secrète laisse la clé intacte mais la rend inutilisable jusqu’à ce que quelqu’un retape la phrase. Un certificat client a une fenêtre de validité, et aucune suppression de mot de passe ne le renouvelle. Ce sont trois objets avec trois propriétaires, et le texte d’erreur du client nomme lequel a échoué.

La comparaison n’est pas théorique, car choisir le mauvais coûte un cycle de support et apprend à l’utilisateur que la correction est aléatoire. Une erreur d’expiration de certificat survit à chaque réinitialisation de mot de passe, et une entrée de mot de passe qui réapparaît peut appartenir à un autre service que le VPN. Associez d’abord l’erreur à l’objet, puis décidez s’il faut supprimer, ressaisir ou renouveler.

Réinitialiser tout le trousseau supprime les identifiants du courrier, des navigateurs et d’autres services. C’est un dernier recours avec son propre coût de récupération, pas une étape de dépannage VPN.

Lisez l’invite et le compte avant de toucher un élément

Lisez l’erreur exacte, puis lisez quel compte le client utilise. La connexion au site du fournisseur et ses identifiants de passerelle sont souvent des comptes différents, et le client peut en enregistrer un tandis que l’utilisateur réinitialise l’autre. Vérifiez le nom du profil et le nom d’utilisateur affichés dans les réglages du client. S’ils ne correspondent pas à ce que croit l’utilisateur, le mot de passe enregistré n’est pas obsolète ; il appartient à autre chose.

Un certificat refusé signale généralement une expiration ou une chaîne non approuvée plutôt qu’un échec d’authentification, tandis qu’un compte verrouillé signale un message de politique ou de verrouillage. Ces messages proviennent de couches différentes, ce qui fait du libellé le moyen le plus rapide de les distinguer. Copiez le message dans le ticket, car c’est la seule preuve qui survivra à la prochaine tentative.

Trouvez l’élément qui possède réellement le secret

Commencez par le contrôle mot de passe oublié du client lorsqu’il en existe un, car c’est le chemin pris en charge et il vise la bonne entrée. Si vous devez ouvrir Trousseau d’accès, cherchez par le nom du service issu de la configuration du client plutôt que par le mot VPN, qui correspond à bien trop de choses. Inspectez l’élément sélectionné avant de supprimer : son compte, son type et sa date de modification doivent tous cadrer avec l’histoire. Un élément modifié pour la dernière fois il y a des années n’est probablement pas celui que le client vient d’utiliser.

L’absence dans une vue ne prouve pas que rien n’est stocké. Les éléments peuvent vivre dans le trousseau de connexion, dans le trousseau iCloud ou à l’intérieur d’un profil géré, et chacun est un conteneur différent avec des règles d’accès différentes. Vérifiez la liste propre au client et la liste du système avant de conclure que le secret manque.

Pour un Mac géré, utilisez la procédure de suppression de l’administrateur. Supprimer autour des restrictions d’un profil laisse l’appareil dans un état que la prochaine vérification de politique annulera.

Reconnectez-vous une fois, puis arrêtez

Après avoir retiré ou mis à jour l’élément, faites une seule tentative de connexion via le flux pris en charge. Une tentative répond à la question, tandis que cinq tentatives y répondent par un verrouillage de compte. Si le refus change de libellé, la suppression a fonctionné et l’échec restant se situe à une autre couche. S’il se répète à l’identique, restaurez ce que vous avez retiré et revenez à l’invite.

Retirer un élément local laisse l’identifiant du service intact. Lorsque le secret a pu être vu par quelqu’un d’autre, traitez-le comme une tâche de rotation et utilisez le flux du fournisseur pour remplacer le mot de passe ou remplacer la clé, car la copie du trousseau était l’un des plusieurs endroits où il existait. Le nettoyage local et la révocation à distance sont des opérations distinctes avec des propriétaires distincts.

Comparez ce que chaque correction peut promettre

Supprimer une entrée de mot de passe promet que le client redemandera un mot de passe, et rien de plus. Remplacer un certificat promet une nouvelle fenêtre de validité, mais seulement si le service émetteur est joignable et le profil mis à jour. Faire tourner un mot de passe ou une clé promet que l’ancien secret cesse de fonctionner, et c’est la seule correction qui aide lorsque l’exposition est la préoccupation. Choisissez la promesse dont vous avez besoin, puis effectuez cette opération.

Écrivez le résultat dans le ticket : quel élément a été supprimé, quel identifiant a été renouvelé et quelle connexion a réussi. La personne suivante avec le même symptôme a besoin de cette correspondance plutôt que d’une histoire de trousseau reconstruit. Le guide Trousseau d’accès d’Apple décrit les conteneurs et leurs règles d’accès, et c’est la partie que les gens ont tendance à deviner.