Jedan se uređaj i dalje ne povezuje nakon poništavanja VPN lozinke
Nova lozinka radi svugdje osim na jednom klijentu. Pronađite spremište koje još drži staru vrijednost, ograničite pokušaje i provjerite jednim pokušajem.
Poništili ste lozinku, testirali je na portalu, a jedno se prijenosno računalo i dalje ne može povezati. Prvi je instinkt poništiti je ponovno, a upravo se tako račun zaključava i zastarjela tajna postaje incident. VPN klijent rijetko traži lozinku svaki put; traži je jednom i pohranjuje odgovor negdje što vi niste odabrali. Pronalaženje tog mjesta cijeli je posao i brže je od još jednog poništavanja.
Potvrdite što svaki klijent zapravo šalje
Provjerite račun, domenu i pristupnik na klijentu koji ne radi prije nego pretpostavite da je lozinka problem. Prijava na web portal može koristiti drugi sustav identiteta od samog VPN-a, pa uspješna prijava na portal ne govori ništa o autentikaciji protokola. Neke instalacije prihvaćaju e-poštu na portalu i drugo korisničko ime u tunelu. Potvrdite koji je identitet klijent konfiguriran predstaviti prije nego bilo što poništite.
Pročitajte tekst pogreške i razvrstajte ga. Neuspjeh certifikata, istekao izazov ili nepodržana šifra nisu zastarjela lozinka, a tretiranje kao takve stvara petlju poništavanja bez učinka. Ako usluga ima politiku zaključavanja, zaustavite se nakon dva ili tri neuspjela pokušaja i potvrdite stanje računa prije nastavka.
Popišite spremišta umjesto nagađanja
Četiri spremišta drže VPN tajnu, a tablica u nastavku za svako pokazuje gdje vrijednost preživljava i što brisanje zapravo znači. Izvorni OS profil drži tajnu u platformskom spremištu vjerodajnica, zato zapis može nadživjeti aplikaciju koja ga je zapisala. Konfiguracijska datoteka klijenta drži vrijednost tamo gdje je taj klijent čita, bilo ugrađenu bilo u navedenoj auth datoteci, pa uređivanje druge datoteke ništa ne mijenja. Kolačić portala i vjerodajnica dostavljena pravilnikom žive negdje što uređaj zapravo ne posjeduje, što određuje kome je dopušteno mijenjati ih.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Provjerite ih fiksnim redoslijedom: prvo OS spremište vjerodajnica, jer ga klijent po zadanom konzultira, zatim klijentov vlastiti trezor ili konfiguracijska datoteka, potom sesija preglednika i naposljetku pravilnik koji može prebrisati sva tri. Redoslijed je važan jer kasnije spremište može tiho obnoviti ranije, a vi ćete popraviti pogrešan sloj dok kvar traje. Zapišite koje ste spremište promijenili, jer ta bilješka čini sljedeće poništavanje poslom od dvije minute umjesto cijelog poslijepodneva.
Pogledajte u spremište koje klijent zapravo rabi
Pročitajte prije brisanja da biste znali koji je zapis pripadao VPN-u. Naredbe u nastavku popisuju i pregledavaju umjesto uklanjanja, što dijagnozu održava reverzibilnom.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordNa Linuxu -s pokazuje tajne koje NetworkManager inače skriva. Na macOS-u naredba Keychain ispisuje pohranjenu stavku, pa terminalsku povijest tretirajte kao osjetljivu. Ako je klijent koji ne radi aplikacija treće strane s vlastitim trezorom, OS spremište izgledat će ispravno dok aplikacija drži vlastitu kopiju, a upravo u tom trezoru treba napraviti promjenu.
Pozabavite se uređajima koji su izvan mreže
Prijenosna računala koja se sama bude i ponovno povezuju nastavit će predstavljati staru tajnu dokle god postoji njihova kopija. Planirajte ažuriranje tako da se ti uređaji isprave prije nego što se u naletu ponovno pokušaju povezati, i razmotrite isključivanje automatskog povezivanja na zahvaćenom profilu dok svaki ne prođe podržani tok.
Za upravljanu flotu promijenite vrijednost tamo gdje je pravilnik definiran. Uređivanje lokalne kopije na uređaju čija se vjerodajnica osigurava središnje u najboljem je slučaju privremeno; sljedeće osvježavanje pravilnika vraća staru vrijednost i kvar se vraća bez objašnjenja.
Provjerite jednim kontroliranim pokušajem
Ažurirajte predviđeni zapis, povežite se jednom i potvrdite da tunel doseže nešto konkretno. Jedan kontrolirani pokušaj daje upotrebljivu pogrešku ako ne uspije, dok dvadeset daje zaključan račun i zagonetku. Ako klijent i dalje ne radi nakon ispravka spremišta, zabilježite jednu pogrešku bez tajni i zaustavite se. Sačuvajte tu pogrešku uz naziv uređaja kako bi sljedeća smjena počela tamo gdje ste vi završili.
Promjena lozinke ne dira certifikate, sesijske tokene ni MFA registraciju, a to su odvojeni identiteti s vlastitim životnim ciklusom. Obnovljeni certifikat ne popravlja se rotacijom lozinke, a token izdan prije poništavanja može još vrijediti. Završite tako da zapišete koje je spremište držalo zastarjelu vrijednost, jer sljedeće poništavanje udara na isti popis.