התקן אחד עדיין נכשל לאחר איפוס סיסמת ה-VPN
הסיסמה החדשה עובדת בכל מקום מלבד לקוח אחד. מצאו את המאגר שעדיין מחזיק בערך הישן, הגבילו את הניסיונות ואמתו בניסיון אחד.
איפסתם את הסיסמה, בדקתם אותה בפורטל, ומחשב נייד אחד עדיין לא מצליח להתחבר. האינסטינקט הוא לאפס אותה שוב, וכך בדיוק חשבון ננעל וסוד מיושן הופך לתקלה. לקוח VPN רק לעיתים נדירות מבקש סיסמה בכל פעם; הוא מבקש פעם אחת ושומר את התשובה במקום שלא בחרתם בו. מציאת המקום הזה היא כל העבודה, והיא מהירה מאיפוס נוסף.
אמתו מה כל לקוח באמת שולח
בדקו את החשבון, התחום והשער בלקוח שנכשל לפני שאתם מניחים שהסיסמה היא הבעיה. התחברות לפורטל האינטרנט עשויה להשתמש במערכת זהות שונה מה-VPN עצמו, ולכן התחברות מוצלחת לפורטל אינה אומרת דבר על אימות הפרוטוקול. בפריסות מסוימות מתקבל דוא״ל בפורטל ושם משתמש אחר במנהרה. אמתו איזו זהות הלקוח מוגדר להציג לפני שאתם מאפסים משהו.
קראו את טקסט השגיאה וסווגו אותו. כשל בתעודה, אתגר שפג או צופן שאינו נתמך אינם סיסמה מיושנת, והתייחסות אליהם ככאלה יוצרת לולאת איפוסים בלי השפעה. אם לשירות יש מדיניות נעילה, עצרו לאחר שניים או שלושה ניסיונות כושלים ואמתו את מצב החשבון לפני שתמשיכו.
מנו את המאגרים במקום לנחש
ארבעה מאגרים מחזיקים בסוד VPN, והטבלה שלמטה ממפה כל אחד מהם להיכן שהערך שורד ומה פירושו באמת של ניקויו. פרופיל מערכת הפעלה מקורי שומר את הסוד במאגר האישורים של הפלטפורמה, ולכן הרשומה יכולה לשרוד את האפליקציה שכתבה אותה. קובץ תצורת לקוח שומר את הערך במקום שהלקוח קורא אותו, או כערך מוטבע או בקובץ אימות שמופנה אליו, ולכן עריכת קובץ אחר לא משנה דבר. קובץ עוגיית פורטל ואישור שמסופק על ידי מדיניות חיים במקום שהמכשיר לא באמת מחזיק בו, וזה קובע מי רשאי לשנותם.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
בדקו אותם בסדר קבוע: תחילה מאגר האישורים של מערכת ההפעלה, משום שהלקוח פונה אליו כברירת מחדל, אחר כך הכספת או קובץ התצורה של הלקוח עצמו, אחר כך הפעלת הדפדפן, ולבסוף המדיניות שיכולה לדרוס את שלושתם. הסדר חשוב משום שמאגר מאוחר יכול לשחזר בשקט מאגר מוקדם, ואתם תתקנו את השכבה הלא נכונה בזמן שהכשל נמשך. רשמו איזה מאגר שיניתם, משום שההערה הזו היא מה שהופך את האיפוס הבא למשימה של שתי דקות במקום אחר צהריים.
הסתכלו במאגר שהלקוח באמת משתמש בו
קראו לפני שאתם מוחקים, כדי שתדעו איזו רשומה הייתה שייכת ל-VPN. הפקודות שלמטה מציגות ובודקות במקום להסיר, מה ששומר על האבחון כניתן להחזרה.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordב-Linux, -s מציג סודות ש-NetworkManager מסתיר אחרת. ב-macOS, פקודת Keychain מדפיסה את הפריט השמור, ולכן התייחסו לגלילת הטרמינל כאל מידע רגיש. אם הלקוח שנכשל הוא אפליקציית צד שלישי עם כספת משלה, מאגר מערכת ההפעלה ייראה תקין בזמן שהאפליקציה שומרת עותק משלה, והכספת הזו היא המקום שבו השינוי צריך להיעשות.
טפלו במכשירים שנמצאים במצב לא מקוון
מחשבים ניידים שמתעוררים ומתחברים מחדש מעצמם ימשיכו להציג את הסוד הישן כל עוד העותק שלהם קיים. תכננו את העדכון כך שהמכשירים האלה יתוקנו לפני שהם ינסו שוב בבת אחת, ושקלו השבתת חיבור אוטומטי בפרופיל שנפגע עד שכל אחד יעבור את הזרימה הנתמכת.
לציוד מנוהל, שנו את הערך במקום שבו המדיניות מוגדרת. עריכת עותק מקומי במכשיר שהאישור שלו מסופק באופן מרכזי היא זמנית במקרה הטוב; רענון המדיניות הבא משחזר את הערך הישן והכשל חוזר בלי הסבר.
אמתו בניסיון מבוקר אחד
עדכנו את הרשומה המיועדת, התחברו מחדש פעם אחת, ואמתו שהמנהרה מגיעה למשהו ספציפי. ניסיון מבוקר אחד מפיק שגיאה שמישה אם הוא נכשל, ואילו עשרים מפיקים חשבון נעול ותעלומה. אם לקוח עדיין נכשל לאחר תיקון המאגר, תפסו שגיאה אחת שאינה סודית ועצרו. שמרו את השגיאה עם שם המכשיר כדי שהמשמרת הבאה תתחיל במקום שבו סיימתם.
שינוי סיסמה אינו נוגע בתעודות, באסימוני הפעלה או ברישום MFA, ואלה זהויות נפרדות עם מחזור חיים משלהן. תעודה מחודשת אינה מתוקנת על ידי סיבוב סיסמה, ואסימון שהונפק לפני האיפוס עשוי עדיין להיות תקף. סיימו בכך שתרשמו איזה מאגר החזיק בערך המיושן, משום שהאיפוס הבא יפגוש את אותה רשימה.