VPN-ferifikaasje mislearre: it is selden de poarte of de DNS

Ferifikaasje mislearre betsjut dat de tsjinst in identiteit ûntfongen en wegere hat, wat in smeller bewear is as de measte minsken der yn lêze. De poarte is iepen, de TLS-sesje is mooglik foltôge, en eat yn ’e ljouvens of it akkount is wegere. It feroarjen fan netwurkynstellingen kin dat net reparearje, en it werheljen fan ’e poging kin it akkount beskoattelje. De flatertekst neamt al de etappe, dus begjin dêr.

De flater hat jo al ferteld hokker etappe mislearre

In ferbining dy’t syn TLS-hânjaan nea foltôget, hat de ferifikaasje hielendal net berikt. In ferbining dy’t de hânjaan foltôget en dan in wegering fan ljouvens rapportearret, hat it berikt en dêr mislearre. Dy twa útkomsten freegje ferskillende ûndersiken, en se wurde faak trochinoar helle om’t beide mei in sletten finster einigje.

OpenVPN makket it ûnderskie dúdlik mei in AUTH_FAILED-berjocht fan ’e tsjinner, dat in beslút is en gjin ferfiersflater. In time-out fan ’e TLS-ûnderhanneling of in sertifikaatferifikaasjeflater heart by de eardere etappe. Lês hokker jo hawwe foar’t jo oan ljouvens komme, want in wachtwurdwerstel kin gjin hânjaan reparearje en in feroaring oan ’e firewall kin in wegere oanmeld net reparearje. Ien rigel fan it kliïntloch beantwurdet de fraach.

Deselde logika jildt foar in sesje dy’t ferbynt en letter útfalt. In mislearre werferifikaasje op minút fjirtich is in oare flater as in wegering by de earste oanmelding, en it skoft is de oanwizing.

Befêstigje dat it profyl nei de juste tsjinst wiist

It akkount dat op ’e webside fan in oanbieder brûkt wurdt, is net altyd it akkount dat syn VPN-gateway akseptearret. In bewarre profyl kin ek nei in âlde gateway wize lang nei’t de tsjinst ferhuze is.

Fergelykje it einpunt yn it profyl mei dat wat de operator publisearre hat, en kontrolearje hokker identiteitssysteem de gateway rieplachtet. In wachtwurdwerstel op in webportaal feroaret neat as de tunnel tsjin in aparte gids ferifiearret. Ljouvens foar in net besibbe publike tsjinner sille net op joen wurkje, en it testen fan in wurkwachtwurd yn in profyl dat troch in net-betrouber berjocht ûntfongen is, is yn elk gefal in minne ruil. Befêstigje de oarsprong foar’t jo eat type.

Twa minuten op it profyl foarkomme in dei fan rieden op ljouvens.

It oanmeldformaasje is diel fan ’e ljouvens

In brûkersnamme kin in e-postfoarm, in domeinprefiks of in gidssuffiks nedich hawwe. De gateway fergelykjet de tekenrige dy’t it ûntfongen hat, dus de foarm is diel fan ’e ljouvens en gjin fersiering.

Slút dan de saaie oarsaken út foar’t jo eskalearje. Kontrolearje de kaaiboerdynstallaasje, hokker einspasje dan ek troch in kopy ynfierd is, en in âld ynfier yn ’e wachtwurdbehearder. Befêstigje nei in werstel dat de VPN deselde identiteitsboarne brûkt as de side dêr’t it wachtwurd feroare is. As dy details kloppe, stopje dan mei rieden en freegje de operator oft it akkount ynskeakele en foar VPN-tagong machtige is. Dat is in korreksje oan ’e tsjinstkant en gjin kliïntynstelling.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

It lochrigel dat AUTH_FAILED draacht, befettet meastentiids in redenskoade of in útdagingsrige. Kopyearje it sekuer ynstee fan it opnij te fertellen as jo om help freegje.

Twadde faktoaren hawwe har eigen kontrakt

It profyl kin in ienmalige koade, in ynteraktive útdaging of in browser-ynstap ferwachtsje dy’t in token oan ’e kliïnt weromjout. Brûk de stream dy’t de operator stipet ynstee fan ien te betinken.

Heakje gjin koade oan it wachtwurd ta, útsein as dat formaat eksplisyt fereaske is, want guon ynsetten brûke in apart fjild en oaren in útdagingsrige. Kontrolearje by tiidbasearre koaden de klok fan it apparaat, want in pear minuten ôfwiking meitsje elke koade ûnjildich. As browser-ynstap slagget en de kliïnt set nea troch, notearje dan krekt dat punt, want it identifisearret de oerdracht en net de ljouvens. In folgjend wachtwurdwerstel sil wierskynlik net helpe.

In sesjelimyt is de oare foarkommende wegering. As it akkount ien sesje tastean, kin in twadde oanmeld de earste beëinigje, en it symptoom liket op in fladderjende ferbining en net op belied.

In sertifikaat is gjin wachtwurd

In kliïntsertifikaat kin ferrinne of yntrokken wurde wylst it akkountwachtwurd folslein korrekt bliuwt. In wachtwurdfoarsis by in priveekaai is wer in tredde geheim, en it beskermet in bestân en net in akkount.

Lês de flater foar’t jo eat ferfange, en helje dan de juste ferfanging by de ferifiearre operator. Hâld serveridentiteitsferifikaasje oan wylst jo dat dogge: in net besibbe sertifikaat akseptearje of immen oars syn priveekaai kopyearje is gjin reparaasje, it is in twadde ynsidint. Test dan de boarne dy’t jo wier nedich hawwe, want in ferbûn tunnel mei in ûnberikbere tsjinst heart by in oar ûndersyk. Skriuw op hokker etappe mislearre, sadat de folgjende persoan it hiele proses net opnij begjint.

As de sesje ta stân komt en letter mislearret, registrearje dan it skoft en alle tichtby lizzende fernijingsbarren. Dy registraasje skiedt in probleem mei de libbensdoer fan it token fan in mislearring by de earste oanmelding, en it is it ferskil tusken in reparaasje fan fiif minuten en in wike fan nije pogingen.