Autentikasi VPN gagal: jarang penyebabnya port atau DNS

Autentikasi gagal berarti layanan menerima identitas dan menolaknya, pernyataan yang lebih sempit daripada yang dibayangkan kebanyakan orang. Port terbuka, sesi TLS mungkin sudah selesai, dan ada sesuatu pada kredensial atau akun yang ditolak. Mengubah pengaturan jaringan tidak dapat memperbaikinya, dan mengulang percobaan dapat mengunci akun. Teks galat sudah menyebut tahapnya, jadi mulailah dari sana.

Galat sudah memberi tahu Anda tahap mana yang gagal

Koneksi yang tidak pernah menyelesaikan jabat tangan TLS sama sekali belum mencapai autentikasi. Koneksi yang menyelesaikan jabat tangan lalu melaporkan penolakan kredensial sudah mencapainya dan gagal di sana. Kedua hasil itu memerlukan penyelidikan berbeda, dan sering tertukar karena keduanya berakhir dengan jendela tertutup.

OpenVPN memperjelas perbedaannya dengan pesan AUTH_FAILED dari server, yang merupakan keputusan dan bukan galat transport. Batas waktu negosiasi TLS atau galat verifikasi sertifikat termasuk tahap sebelumnya. Baca mana yang Anda alami sebelum menyentuh kredensial, karena setel ulang kata sandi tidak dapat memperbaiki jabat tangan dan perubahan firewall tidak dapat memperbaiki login yang ditolak. Satu baris log klien menjawab pertanyaannya.

Logika yang sama berlaku untuk sesi yang terhubung lalu terputus kemudian. Kegagalan autentikasi ulang pada menit keempat puluh adalah cacat berbeda dari penolakan pada login pertama, dan intervalnya adalah petunjuknya.

Pastikan profil menunjuk ke layanan yang benar

Akun yang dipakai di situs penyedia tidak selalu akun yang diterima gateway VPN-nya. Profil tersimpan juga dapat menunjuk ke gateway lama jauh setelah layanan berpindah.

Bandingkan titik akhir di profil dengan yang diterbitkan operator, dan periksa sistem identitas mana yang dikonsultasikan gateway. Setel ulang kata sandi di portal web tidak mengubah apa pun jika terowongan mengautentikasi terhadap direktori terpisah. Kredensial untuk server publik yang tidak terkait tidak akan berfungsi pada server Anda, dan menguji kata sandi kerja di profil yang diterima melalui pesan tidak tepercaya adalah pertukaran buruk dalam hal apa pun. Pastikan asalnya sebelum mengetik apa pun.

Dua menit pada profil mencegah sehari menebak kredensial.

Format login adalah bagian dari kredensial

Nama pengguna mungkin memerlukan bentuk surel, awalan domain, atau akhiran direktori. Gateway membandingkan string yang diterimanya, jadi bentuknya adalah bagian dari kredensial, bukan hiasan.

Lalu singkirkan penyebab yang membosankan sebelum mengeskalasi. Periksa tata letak papan tik, spasi akhir akibat salin, dan entri lama di pengelola kata sandi. Setelah setel ulang, pastikan VPN memakai sumber identitas yang sama dengan halaman tempat kata sandi diubah. Jika rincian itu benar, berhenti menebak dan tanyakan kepada operator apakah akun diaktifkan dan diotorisasi untuk akses VPN. Itu koreksi di sisi layanan, bukan pengaturan klien.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Baris log yang membawa AUTH_FAILED biasanya menyertakan kode alasan atau string tantangan. Salin persis, jangan diparafrasekan saat meminta bantuan.

Faktor kedua punya kontraknya sendiri

Profil mungkin mengharapkan kode sekali pakai, tantangan interaktif, atau login peramban yang mengembalikan token ke klien. Gunakan alur yang didukung operator, bukan mengarangnya.

Jangan menambahkan kode ke kata sandi kecuali format itu secara eksplisit diminta, karena sebagian penerapan memakai kolom terpisah dan sebagian lagi string tantangan. Untuk kode berbasis waktu, periksa jam perangkat, karena beberapa menit penyimpangan membatalkan setiap kode. Jika login peramban berhasil dan klien tidak pernah melanjutkan, catat tepat titik itu, karena itu menandai penyerahan dan bukan kredensial. Setel ulang kata sandi lagi kemungkinan tidak akan membantu.

Batas sesi adalah penolakan umum lainnya. Jika akun mengizinkan satu sesi, login kedua dapat mengakhiri yang pertama, dan gejalanya tampak seperti koneksi berkedip, bukan kebijakan.

Sertifikat bukan kata sandi

Sertifikat klien dapat kedaluwarsa atau dicabut sementara kata sandi akun tetap sepenuhnya benar. Frasa sandi kunci privat adalah rahasia ketiga lagi, dan itu melindungi berkas, bukan akun.

Baca galat sebelum mengganti apa pun, lalu dapatkan pengganti yang benar dari operator terverifikasi. Biarkan verifikasi identitas server tetap aktif selama Anda melakukannya: menerima sertifikat yang tidak terkait atau menyalin kunci privat orang lain bukan perbaikan, melainkan insiden kedua. Setelah itu uji sumber daya yang benar-benar Anda butuhkan, karena terowongan terhubung dengan layanan tak terjangkau termasuk penyelidikan lain. Catat tahap mana yang gagal agar orang berikutnya tidak memulai seluruh proses dari awal.

Jika sesi terbentuk dan gagal kemudian, catat interval dan peristiwa pembaruan di sekitarnya. Catatan itu memisahkan masalah masa pakai token dari kegagalan login pertama, dan itulah perbedaan antara perbaikan lima menit dan seminggu percobaan ulang.