Un dispositivo segue sen conectarse tras restablecer o contrasinal do VPN
O novo contrasinal funciona en todas partes agás nun cliente. Atope o almacén que aínda conserva o valor antigo, limite os intentos e verifique cun só intento.
Restableceu o contrasinal, probouno no portal, e un portátil segue sen poder conectarse. O instinto é restablecelo outra vez, e así é como unha conta se bloquea e un segredo antigo se converte nun incidente. Un cliente VPN raramente pide o contrasinal cada vez; pídeo unha vez e garda a resposta nun lugar que vostede non escolleu. Atopar ese lugar é todo o traballo, e é máis rápido que outro restablecemento.
Confirme que envía realmente cada cliente
Comprobe a conta, o dominio e a pasarela no cliente que falla antes de supor que o contrasinal é o problema. O inicio de sesión no portal web pode usar un sistema de identidade distinto do propio VPN, así que un inicio de sesión correcto no portal non di nada sobre a autenticación do protocolo. Algunhas implantacións aceptan un correo electrónico no portal e un nome de usuario distinto no túnel. Confirme que identidade está configurado o cliente para presentar antes de restablecer nada.
Lea o texto do erro e clasifíqueo. Un fallo de certificado, un desafío caducado ou un cifrado non compatible non é un contrasinal antigo, e tratalo como tal produce un bucle de restablecementos sen efecto. Se o servizo ten unha política de bloqueo, detéñase tras dous ou tres intentos fallidos e confirme o estado da conta antes de continuar.
Enumere os almacéns en lugar de adiviñar
Catro almacéns gardan un segredo de VPN, e a táboa de abaixo mostra para cada un onde sobrevive o valor e que significa realmente borralo. Un perfil nativo do sistema operativo garda o segredo no almacén de credenciais da plataforma, por iso a entrada pode sobrevivir á aplicación que a escribiu. Un ficheiro de configuración do cliente garda o valor onde o le ese cliente, xa sexa en liña ou nun ficheiro de autenticación referenciado, así que editar outro ficheiro non cambia nada. Unha cookie do portal e unha credencial entregada por política viven nun lugar que o dispositivo non posúe de verdade, o que decide quen pode cambialas.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Compruébeos nunha orde fixa: primeiro o almacén de credenciais do sistema operativo, porque é o que o cliente consulta por defecto, despois a caixa forte ou o ficheiro de configuración do propio cliente, logo a sesión do navegador e por último a política que pode sobrescribir os tres. A orde importa porque un almacén posterior pode restaurar silenciosamente un anterior, e terá arranxado a capa equivocada mentres o fallo persiste. Anote que almacén cambiou, porque esa nota é o que converte o seguinte restablecemento nunha tarefa de dous minutos en lugar dunha tarde.
Mire no almacén que o cliente usa realmente
Lea antes de borrar, para saber que entrada pertencía ao VPN. Os comandos de abaixo listan e inspeccionan en lugar de eliminar, o que mantén o diagnóstico reversible.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordEn Linux, -s mostra segredos que NetworkManager oculta doutro modo. En macOS, o comando de Keychain imprime o elemento gardado, así que trate o desprazamento do terminal como sensible. Se o cliente que falla é unha aplicación de terceiros coa súa propia caixa forte, o almacén do sistema parecerá correcto mentres a aplicación garda a súa propia copia, e esa caixa forte é onde corresponde o cambio.
Ocupe os dispositivos que están sen conexión
Portátiles que espertan e se reconectan sos seguirán presentando o segredo antigo mentres exista a súa copia. Planifique a actualización para que eses dispositivos se corrixan antes de que reintenten en bloque, e considere desactivar a conexión automática no perfil afectado ata que cada un pasase polo fluxo compatible.
Para unha frota xestionada, cambie o valor onde se define a política. Editar unha copia local nun dispositivo cuxa credencial se aprovisiona de forma central é temporal no mellor dos casos; a seguinte actualización da política restaura o valor antigo e o fallo volve sen explicación.
Verifique cun intento controlado
Actualice a entrada prevista, reconecte unha vez e confirme que o túnel chega a algo concreto. Un intento controlado produce un erro utilizable se falla, mentres que vinte producen unha conta bloqueada e un misterio. Se un cliente segue fallando despois de corrixir o almacén, capture un só erro sen segredos e detéñase. Garde ese erro co nome do dispositivo para que a seguinte quenda comece onde vostede rematou.
Un cambio de contrasinal non toca certificados, tokens de sesión nin o rexistro de MFA, e esas son identidades separadas co seu propio ciclo de vida. Un certificado renovado non se arranxa rotando un contrasinal, e un token emitido antes do restablecemento pode seguir sendo válido. Remate anotando que almacén tiña o valor antigo, porque o seguinte restablecemento atopará a mesma lista.