אימות VPN נכשל: לרוב הבעיה אינה בפורט או ב-DNS

הודעת אימות נכשל פירושה שהשירות קיבל זהות ודחה אותה, קביעה צרה יותר ממה שרוב האנשים קוראים לתוכה. הפורט פתוח, ייתכן שסשן ה-TLS הושלם, ומשהו באישורים או בחשבון נדחה. שינוי הגדרות רשת לא יכול לתקן זאת, וניסיון חוזר עלול לנעול את החשבון. טקסט השגיאה כבר מציין את השלב, אז התחילו שם.

השגיאה כבר אמרה לכם איזה שלב נכשל

חיבור שלעולם אינו משלים את לחיצת היד של TLS כלל לא הגיע לאימות. חיבור שמשלים את לחיצת היד ואז מדווח על דחיית אישורים הגיע אליו ונכשל שם. שתי התוצאות האלה דורשות חקירה שונה, ולעיתים קרובות מבלבלים ביניהן מפני ששתיהן מסתיימות בחלון סגור.

OpenVPN מבהיר את ההבחנה בהודעת AUTH_FAILED מהשרת, שהיא החלטה ולא שגיאת תעבורה. פסק זמן של משא ומתן TLS או שגיאת אימות תעודה שייכים לשלב הקודם. קראו איזה מהם יש לכם לפני שנוגעים באישורים, כי איפוס סיסמה לא יכול לתקן לחיצת יד ושינוי חומת אש לא יכול לתקן כניסה שנדחתה. שורה אחת ביומן הלקוח עונה על השאלה.

אותו היגיון חל על סשן שמתחבר ואז נופל מאוחר יותר. כשל באימות מחדש בדקה הארבעים הוא תקלה אחרת מדחייה בכניסה הראשונה, והמרווח הוא הרמז.

ודאו שהפרופיל מצביע על השירות הנכון

החשבון שמשתמשים בו באתר של ספק אינו תמיד החשבון ששער ה-VPN שלו מקבל. פרופיל שמור יכול גם להצביע על שער ישן זמן רב אחרי שהשירות עבר.

השוו את נקודת הקצה בפרופיל לזו שהמפעיל פרסם, ובדקו באיזו מערכת זהות השער מתייעץ. איפוס סיסמה בפורטל אינטרנט לא משנה דבר אם המנהרה מאמתת מול מדריך נפרד. אישורים של שרת ציבורי לא קשור לא יעבדו על שלכם, ובדיקת סיסמת עבודה בפרופיל שהתקבל בהודעה לא מהימנה היא עסקה גרועה בכל מקרה. אשרו את המקור לפני שמקלידים משהו.

שתי דקות על הפרופיל מונעות יום של ניחוש אישורים.

תבנית הכניסה היא חלק מהאישורים

ייתכן ששם משתמש דורש תבנית דואר אלקטרוני, קידומת תחום או סיומת מדריך. השער משווה את המחרוזת שקיבל, לכן התבנית היא חלק מהאישורים ולא קישוט.

לאחר מכן שללו את הסיבות המשעממות לפני הסלמה. בדקו את פריסת המקלדת, רווח סופי שהוכנס בהעתקה, ורשומה ישנה במנהל הסיסמאות. אחרי איפוס, אשרו שה-VPN משתמש באותו מקור זהות כמו העמוד שבו שונתה הסיסמה. אם הפרטים האלה נכונים, הפסיקו לנחש ושאלו את המפעיל אם החשבון מופעל ומורשה לגישה ל-VPN. זה תיקון בצד השירות ולא הגדרה בלקוח.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

שורת היומן שנושאת AUTH_FAILED כוללת בדרך כלל קוד סיבה או מחרוזת אתגר. העתיקו אותה במדויק במקום לנסח אותה מחדש כשאתם מבקשים עזרה.

לגורמים השניים יש חוזה משלהם

הפרופיל עשוי לצפות לקוד חד-פעמי, לאתגר אינטראקטיבי או לכניסה בדפדפן שמחזירה אסימון ללקוח. השתמשו בזרימה שהמפעיל תומך בה במקום להמציא אחת.

אל תצרפו קוד לסיסמה אלא אם התבנית הזו נדרשת במפורש, כי חלק מהפריסות משתמשות בשדה נפרד ואחרות במחרוזת אתגר. בקודים מבוססי זמן בדקו את שעון המכשיר, כי כמה דקות של סטייה פוסלות כל קוד. אם הכניסה בדפדפן מצליחה והלקוח אינו ממשיך לעולם, רשמו בדיוק את הנקודה הזו, כי היא מזהה את המסירה ולא את האישורים. איפוס סיסמה נוסף כנראה לא יעזור.

מגבלת סשנים היא הדחייה הנפוצה האחרת. אם החשבון מאפשר סשן אחד, כניסה שנייה עלולה לסיים את הראשונה, והתסמין נראה כמו חיבור מהבהב ולא כמו מדיניות.

תעודה אינה סיסמה

תעודת לקוח יכולה לפוג או להתבטל בזמן שסיסמת החשבון נשארת נכונה לחלוטין. מילת הצופן של מפתח פרטי היא שוב סוד שלישי, והיא מגנה על קובץ ולא על חשבון.

קראו את השגיאה לפני שמחליפים משהו, ואז השיגו את התחליף הנכון מהמפעיל המאומת. השאירו את אימות זהות השרת דלוק בזמן שאתם עושים זאת: קבלת תעודה לא קשורה או העתקת מפתח פרטי של מישהו אחר אינה תיקון, היא תקרית שנייה. אחר כך בדקו את המשאב שאתם באמת צריכים, כי מנהרה מחוברת עם שירות בלתי נגיש שייכת לחקירה אחרת. רשמו איזה שלב נכשל כדי שהאדם הבא לא יתחיל את כל התהליך מחדש.

אם הסשן נוצר ונכשל מאוחר יותר, רשמו את המרווח וכל אירוע חידוש בקרבת מקום. הרישום הזה מפריד בין בעיית תוחלת חיים של אסימון לכשל בכניסה הראשונה, והוא ההבדל בין תיקון של חמש דקות לשבוע של ניסיונות חוזרים.