VPN autentifikacija nije uspjela: rijetko je kriv port ili DNS

Poruka da autentifikacija nije uspjela znači da je usluga primila identitet i odbila ga, što je uža tvrdnja nego što većina ljudi u nju učitava. Port je otvoren, TLS sesija je vjerojatno dovršena, a nešto u vjerodajnicama ili računu je odbijeno. Promjena mrežnih postavki to ne može popraviti, a ponavljanje pokušaja može zaključati račun. Tekst pogreške već imenuje fazu, pa počnite odatle.

Pogreška vam je već rekla koja faza nije uspjela

Veza koja nikada ne završi TLS rukovanje nije uopće stigla do autentifikacije. Veza koja završi rukovanje i zatim prijavi odbijanje vjerodajnica stigla je do nje i tu nije uspjela. Ta dva ishoda traže različite istrage i često se miješaju jer oba završavaju zatvorenim prozorom.

OpenVPN čini razliku eksplicitnom porukom AUTH_FAILED sa poslužitelja, koja je odluka, a ne transportna pogreška. Istek TLS pregovora ili pogreška provjere certifikata pripada ranijoj fazi. Pročitajte koja je vaša prije nego dirnete vjerodajnice, jer reset lozinke ne može popraviti rukovanje, a promjena vatrozida ne može popraviti odbijenu prijavu. Jedan red klijentskog dnevnika odgovara na pitanje.

Ista logika vrijedi za sesiju koja se poveže i kasnije padne. Neuspjeh ponovne autentifikacije u četrdesetoj minuti je drugačiji kvar od odbijanja pri prvoj prijavi, a interval je trag.

Potvrdite da profil pokazuje na pravu uslugu

Račun koji se koristi na web stranici pružatelja nije uvijek račun koji prihvaća njegov VPN pristupnik. Spremljeni profil može također pokazivati na stari pristupnik dugo nakon što se usluga preselila.

Usporedite krajnju točku u profilu s onom koju je objavio operater i provjerite koji sustav identiteta pristupnik konzultira. Reset lozinke na web portalu ne mijenja ništa ako se tunel autentificira prema zasebnom direktoriju. Vjerodajnice za nepovezani javni poslužitelj neće raditi na vašem, a testiranje poslovne lozinke u profilu dobivenom kroz nepouzdanu poruku je u svakom slučaju loša razmjena. Potvrdite podrijetlo prije nego što bilo što upišete.

Dvije minute na profilu sprječavaju dan pogađanja vjerodajnica.

Format prijave dio je vjerodajnica

Korisničko ime može zahtijevati oblik e-pošte, prefiks domene ili sufiks direktorija. Pristupnik uspoređuje primljeni niz, pa je oblik dio vjerodajnica, a ne ukras.

Zatim isključite dosadne uzroke prije eskalacije. Provjerite raspored tipkovnice, svaki završni razmak nastao kopiranjem i stari unos u upravitelju lozinki. Nakon reseta potvrdite da VPN koristi isti izvor identiteta kao stranica na kojoj je lozinka promijenjena. Ako su ti detalji ispravni, prestanite pogađati i pitajte operatera je li račun omogućen i ovlašten za VPN pristup. To je ispravak na strani usluge, a ne klijentska postavka.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Red dnevnika koji nosi AUTH_FAILED obično sadrži kôd razloga ili izazovni niz. Kopirajte ga točno umjesto prepričavanja kada tražite pomoć.

Drugi faktori imaju svoj ugovor

Profil može očekivati jednokratni kôd, interaktivni izazov ili prijavu putem preglednika koja vraća token klijentu. Koristite tok koji operater podržava umjesto da izmišljate vlastiti.

Ne dodajte kôd lozinci osim ako taj format nije izričito potreban, jer neka postavljanja koriste zasebno polje, a neka izazovni niz. Za kodove zasnovane na vremenu provjerite sat uređaja, jer nekoliko minuta odstupanja poništava svaki kôd. Ako prijava putem preglednika uspije, a klijent se nikada ne nastavi, zabilježite upravo tu točku, jer ona označava predaju, a ne vjerodajnicu. Još jedan reset lozinke vjerojatno neće pomoći.

Ograničenje sesija drugo je često odbijanje. Ako račun dopušta jednu sesiju, druga prijava može prekinuti prvu, a simptom izgleda kao lepršava veza, a ne kao politika.

Certifikat nije lozinka

Klijentski certifikat može isteći ili biti opozvan dok lozinka računa ostaje potpuno ispravna. Lozinka privatnog ključa opet je treća tajna i štiti datoteku, a ne račun.

Pročitajte pogrešku prije nego bilo što zamijenite, zatim nabavite ispravnu zamjenu od potvrđenog operatera. Držite provjeru identiteta poslužitelja uključenom dok to radite: prihvaćanje nepovezanog certifikata ili kopiranje tuđeg privatnog ključa nije popravak, to je drugi incident. Zatim testirajte resurs koji vam zaista treba, jer povezani tunel s nedostupnom uslugom pripada drugoj istrazi. Zapišite koja faza nije uspjela da sljedeća osoba ne počinje cijeli postupak ispočetka.

Ako se sesija uspostavi i kasnije ne uspije, zabilježite interval i sve obližnje događaje obnove. Taj zapis odvaja problem trajanja tokena od neuspjeha prve prijave i razlika je između popravka od pet minuta i tjedna ponovnih pokušaja.