Erro de autenticación VPN: raramente é o porto ou o DNS

Que a autenticación falle significa que o servizo recibiu unha identidade e rexeitouna, unha afirmación máis estreita do que a maioría le nela. O porto está aberto, a sesión TLS pode terse completado e algo das credenciais ou da conta foi rexeitado. Cambiar a configuración de rede non pode arranxalo, e repetir o intento pode bloquear a conta. O texto do erro xa nomea a etapa, así que comece por aí.

O erro xa lle dixo que etapa fallou

Unha conexión que nunca completa o seu protocolo de enlace TLS non chegou á autenticación en absoluto. Unha conexión que completa o protocolo de enlace e despois informa dun rexeitamento de credenciais si chegou e fallou alí. Eses dous resultados requiren investigacións distintas, e a miúdo confúndense porque ambos rematan cunha xanela pechada.

OpenVPN fai explícita a distinción cunha mensaxe AUTH_FAILED do servidor, que é unha decisión e non un erro de transporte. Un tempo de espera na negociación TLS ou un erro de verificación do certificado pertencen á etapa anterior. Lea cal dos dous ten antes de tocar as credenciais, porque restablecer o contrasinal non pode reparar un protocolo de enlace e cambiar a devasadoira non pode reparar un inicio de sesión rexeitado. Unha liña do rexistro do cliente responde a pregunta.

A mesma lóxica aplícase a unha sesión que conecta e despois cae. Un fallo de reautenticación no minuto corenta é un defecto distinto dun rexeitamento no primeiro inicio de sesión, e o intervalo é a pista.

Confirme que o perfil apunta ao servizo correcto

A conta que se usa no sitio web dun provedor non sempre é a conta que acepta a súa porta de enlace VPN. Un perfil gardado tamén pode apuntar a unha porta de enlace antiga moito despois de que o servizo se traslade.

Compare o punto de conexión do perfil co que publicou o operador e comprobe que sistema de identidade consulta a porta de enlace. Restablecer o contrasinal no portal web non cambia nada se o túnel se autentica contra un directorio separado. As credenciais dun servidor público non relacionado non funcionarán no seu, e probar un contrasinal de traballo nun perfil recibido por unha mensaxe non fiable é un mal intercambio en calquera caso. Confirme a orixe antes de escribir nada.

Dous minutos no perfil evitan un día de adiviñar credenciais.

O formato de inicio de sesión forma parte das credenciais

Un nome de usuario pode necesitar unha forma de correo electrónico, un prefixo de dominio ou un sufixo de directorio. A porta de enlace compara a cadea que recibiu, así que a forma é parte das credenciais e non un adorno.

Despois descarte as causas aburridas antes de escalar. Revise a distribución do teclado, calquera espazo final introducido ao copiar e unha entrada antiga do xestor de contrasinais. Tras un restablecemento, confirme que a VPN usa a mesma fonte de identidade que a páxina onde se cambiou o contrasinal. Se eses detalles son correctos, deixe de adiviñar e pregunte ao operador se a conta está habilitada e autorizada para o acceso VPN. Iso é unha corrección do lado do servizo, non un axuste do cliente.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

A liña do rexistro que leva AUTH_FAILED adoita incluír un código de motivo ou unha cadea de desafío. Cópiela exactamente en lugar de parafraseala cando pida axuda.

Os segundos factores teñen o seu propio contrato

O perfil pode esperar un código dun só uso, un desafío interactivo ou un inicio de sesión no navegador que devolva un testemuño ao cliente. Use o fluxo que admite o operador en lugar de inventar un.

Non engada un código ao contrasinal salvo que ese formato se esixa explicitamente, porque algunhas implementacións usan un campo separado e outras unha cadea de desafío. Para os códigos baseados no tempo, revise o reloxo do dispositivo, xa que uns minutos de desviación invalidan todos os códigos. Se o inicio de sesión no navegador ten éxito e o cliente nunca se retoma, anote exactamente ese punto, porque identifica a entrega e non a credencial. Outro restablecemento de contrasinal probablemente non axudará.

O límite de sesións é o outro rexeitamento habitual. Se a conta permite unha soa sesión, un segundo inicio de sesión pode terminar o primeiro, e o síntoma parece unha conexión intermitente en lugar dunha política.

Un certificado non é un contrasinal

Un certificado de cliente pode caducar ou ser revogado mentres o contrasinal da conta segue sendo perfectamente correcto. A frase de paso dunha chave privada é de novo un terceiro segredo, e protexe un ficheiro e non unha conta.

Lea o erro antes de substituír nada e despois obteña a substitución correcta do operador verificado. Manteña activada a verificación de identidade do servidor mentres o fai: aceptar un certificado non relacionado ou copiar a chave privada doutra persoa non é unha reparación, é un segundo incidente. Despois probe o recurso que realmente necesita, porque un túnel conectado cun servizo inalcanzable pertence a outra investigación. Anote que etapa fallou para que a seguinte persoa non reinicie todo o proceso.

Se a sesión se establece e falla despois, rexistre o intervalo e calquera evento de renovación próximo. Ese rexistro separa un problema de vida útil do testemuño dun fallo no primeiro inicio de sesión, e é a diferenza entre unha reparación de cinco minutos e unha semana de reintentos.