Un dispositivo continua a non connettersi dopo il reset della password VPN

Avete reimpostato la password, l’avete provata nel portale, e un portatile continua a non connettersi. L’istinto è reimpostarla di nuovo, ed è così che un account si blocca e un segreto obsoleto diventa un incidente. Un client VPN raramente chiede la password ogni volta; la chiede una volta e memorizza la risposta in un luogo che non avete scelto. Trovare quel luogo è tutto il lavoro, ed è più rapido di un altro reset.

Confermate che cosa invia realmente ogni client

Controllate l’account, il dominio e il gateway sul client che non funziona prima di supporre che la password sia il problema. L’accesso al portale web può usare un sistema di identità diverso dalla VPN stessa, quindi un accesso riuscito al portale non dice nulla sull’autenticazione del protocollo. Alcune installazioni accettano un’email nel portale e un nome utente diverso nel tunnel. Confermate quale identità il client è configurato a presentare prima di reimpostare qualsiasi cosa.

Leggete il testo dell’errore e classificatelo. Un errore di certificato, una sfida scaduta o un cifrario non supportato non sono una password obsoleta, e trattarli come tale produce un ciclo di reset senza effetto. Se il servizio ha una politica di blocco, fermatevi dopo due o tre tentativi falliti e confermate lo stato dell’account prima di continuare.

Elencate gli archivi invece di indovinare

Quattro archivi custodiscono un segreto VPN, e la tabella sotto indica per ciascuno dove il valore sopravvive e che cosa significa davvero cancellarlo. Un profilo nativo del sistema operativo conserva il segreto nell’archivio delle credenziali della piattaforma, per questo la voce può sopravvivere all’applicazione che l’ha scritta. Un file di configurazione del client conserva il valore dove quel client lo legge, in linea o in un file di autenticazione referenziato, quindi modificare un altro file non cambia nulla. Un cookie del portale e una credenziale fornita da un criterio vivono in un luogo che il dispositivo non possiede davvero, e questo decide chi può modificarli.

Controllateli in un ordine fisso: prima l’archivio delle credenziali del sistema operativo, perché è quello che il client consulta per impostazione predefinita, poi la cassaforte o il file di configurazione del client stesso, quindi la sessione del browser e infine il criterio che può sovrascrivere tutti e tre. L’ordine conta perché un archivio successivo può ripristinare silenziosamente uno precedente, e avrete corretto lo strato sbagliato mentre l’errore persiste. Annotate quale archivio avete modificato, perché quella nota è ciò che rende il reset successivo un lavoro di due minuti invece di un pomeriggio.

Guardate nell’archivio che il client usa davvero

Leggete prima di cancellare, per sapere quale voce apparteneva alla VPN. I comandi sotto elencano e ispezionano invece di rimuovere, il che mantiene la diagnosi reversibile.

# Windows credential store
cmdkey /list | findstr /i vpn

# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid

# macOS Keychain
security find-generic-password -s "Company VPN" -g

# Linux NetworkManager
nmcli -s connection show "Work" | grep -i password

Su Linux, -s mostra segreti che NetworkManager altrimenti nasconde. Su macOS, il comando Keychain stampa l’elemento memorizzato, quindi trattate lo scorrimento del terminale come sensibile. Se il client che non funziona è un’applicazione di terze parti con una propria cassaforte, l’archivio del sistema sembrerà corretto mentre l’applicazione conserva la propria copia, e quella cassaforte è dove va fatta la modifica.

Gestite i dispositivi che sono offline

Portatili che si risvegliano e si riconnettono da soli continueranno a presentare il vecchio segreto finché esiste la loro copia. Pianificate l’aggiornamento in modo che quei dispositivi siano corretti prima che riprovino in blocco, e valutate di disattivare la connessione automatica sul profilo interessato finché ciascuno non ha seguito il flusso supportato.

Per una flotta gestita, modificate il valore dove è definito il criterio. Modificare una copia locale su un dispositivo la cui credenziale è fornita centralmente è temporaneo nel migliore dei casi; il successivo aggiornamento del criterio ripristina il vecchio valore e l’errore ritorna senza spiegazione.

Verificate con un tentativo controllato

Aggiornate la voce prevista, riconnettetevi una volta e confermate che il tunnel raggiunga qualcosa di specifico. Un tentativo controllato produce un errore utilizzabile se fallisce, mentre venti producono un account bloccato e un mistero. Se un client continua a fallire dopo che l’archivio è stato corretto, catturate un solo errore senza segreti e fermatevi. Conservate quell’errore con il nome del dispositivo, così il turno successivo inizia dove avete finito.

Un cambio di password non tocca certificati, token di sessione o registrazione MFA, e quelle sono identità separate con il proprio ciclo di vita. Un certificato rinnovato non si corregge ruotando una password, e un token emesso prima del reset può essere ancora valido. Concludete annotando quale archivio conservava il valore obsoleto, perché il reset successivo incontrerà lo stesso elenco.