משתמש אחד אינו יכול להיכנס ל-VPN: אבחון מסודר

כאשר אדם אחד לא מצליח להתחבר בעוד שאר הצוות ממשיך לעבוד, השאלה המועילה אינה מה שבור אלא איזו שכבה לא הסכימה. הכניסה היא שרשרת: הלקוח מתחיל, השער עונה, זהות מוצהרת, גורם שני מסופק, מדיניות מוערכת, ורק אז התעבורה זורמת. כל שבר בשרשרת הזו מגיע אליכם כאותה משפט מהמשתמש, ולכן המשימה הראשונה היא למצוא את החוליה שנכשלה בפועל.

התייחסו לדיווח כאל נקודת התחלה ולא כאבחון. הבדיקות שלהלן מתחילות בזולה ביותר, וכל אחת כתובה כך שתסיים את החקירה כאשר היא נכשלת.

קבעו את השלב ואת חותמת הזמן

רשמו ארבעה דברים לפני שאתם נוגעים בתצורה כלשהי: הלקוח והגרסה שלו, הניסוח המדויק על המסך, הדקה של הניסיון והרשת שבה היה האדם. הניסוח נושא מידע אמיתי, משום שפרטי כניסה שנדחו, שער שאינו עונה, וכן כניסה שהושלמה ועדיין אינה יכולה לפתוח עמוד פנימי הם שלוש בעיות שונות עם שלושה אחראים שונים. שימו לב אם הלקוח יצר שורת יומן מקומית, משום שלקוח שלא שלח מעולם מנות אין לו מה להוסיף לחיפוש בצד השרת. כשחותמת הזמן נרשמת, כל שאילתה מאוחרת הופכת לחיפוש ולא למרדף.

הפסיקו לנחש סיסמאות בנקודה זו. כאשר לחשבון יש מגבלת ניסיונות חוזרים, פרץ של ניסיונות מהירים עלול לנעול אותו ולהוסיף תקלה שנייה ומלאכותית על גבי התקלה האמיתית. רשמו כמה ניסיונות כבר נעשו, כדי שנעילה לא תיחשב מאוחר יותר לתסמין חדש. חשבון נעול גם שולל מכם את היכולת להבדיל בין סיסמה שגויה לבין מדיניות שנדחתה, משום ששניהם מגיעים כסירוב.

קראו את אירוע הזהות של אותו ניסיון בודד

בקשו מהמנהל לשלוף את רשומת האימות המתאימה לדקה שרשמתם. בפריסת Windows NPS, מדריך פתרון הבעיות של NPS מבית Microsoft מתעד את אירוע הדחייה 6273 יחד עם קוד הסיבה הנלווה אליו, וזה בדרך כלל מפריד בין משתמש לא מוכר, פרטי כניסה גרועים, אי־התאמה במדיניות ושיחה שהופלה מסיבה לא קשורה.

תוצאה ריקה היא גם מידע. אם דבר לא הגיע לשירות הזהות, הניסיון מת מוקדם יותר: כתובת שער מיושנת בפרופיל, מאזין שהלקוח אינו יכול להגיע אליו, או מארח שהוצא משירות בזמן שהפרופיל המשיך לחיות. אם הרשומה קיימת ומדווחת על הצלחה, פרטי הכניסה אינם הבעיה והטיעון עובר להרשאה או לניתוב מאחורי השער. שתי התוצאות האלה מצביעות לכיוונים מנוגדים, ולכן חיפוש ביומנים חייב להתבצע לפני שמישהו מתקין מחדש לקוח.

שמרו את קוד הסיבה בכרטיס. השדה האחד הזה הופך את ההופעה הבאה לחיפוש של חמש דקות במקום חקירה חוזרת. צמדו אותו לגרסת הלקוח, משום שקוד שמופיע בגרסה אחת הוא שיחה אחרת מקוד שמופיע בכל גרסה.

שנו תנאי אחד בכל פעם, במסגרת המדיניות

הפיתוי הוא להתקין מחדש את הלקוח, לאפס את הסיסמה ולהעביר את המחשב הנייד לרשת אחרת במעבר אחד. זה לפעמים מתקן את התסמין ותמיד הורס את הראיות. בחרו במקום זאת החלפה אחת מותרת: אותו אדם במכשיר רשום שני, או זהות בדיקה מאושרת באותו מכשיר. כל החלפה עונה בדיוק על שאלה אחת, ולכן הצלחה מצמצמת את התקלה לצד ששיניתם במקום להאשים את ה-VPN כולו.

אל תשאילו פרטי כניסה של עמית כדי לעשות את ההשוואה הזו. השתמשו בזהות בדיקה דרך התהליך הנתמך, ואל תעתיקו לעולם מפתח מכשיר ואל תדלגו על הרישום משום שזה יהיה מהיר יותר. כאשר המדיניות אוסרת החלפה לחלוטין, המגבלה הזו היא חלק מהמערכת הנבדקת והיא שייכת לרשומה ולא לעקיפה.

אשרו את התיקון בנתיב המקורי

כאשר החוליה השבורה מזוהה, תקנו רק אותה חוליה וחזרו על הניסיון המקורי: אותו אדם, אותו מכשיר, אותה רשת, אותו יישום. חשבון בדיקה שמתחבר מה-VLAN הניהולי מוכיח שהשער חי, והוא אינו מוכיח דבר על הבוקר של יום שלישי של המשתמש. בקשו מהמשתמש לבצע את הפעולה שנכשלה ולא פעולה פשוטה יותר, משום שפינג מוצלח אומר מעט על שיתוף קבצים שנדחה.

סגרו את הכרטיס במה שנשלל ובמה שהשתנה. ההערה הזו היא ההבדל בין חילוץ חד־פעמי לבין משהו שהמהנדס התורן הבא יוכל לעשות בו שימוש חוזר.