VPNパスワードのリセット後も一台の端末が接続できない

パスワードをリセットし、ポータルで試したのに、一台のノートパソコンだけがまだ接続できません。反射的に再度リセットしたくなりますが、まさにそうやってアカウントがロックされ、古いシークレットがインシデントになります。VPNクライアントは毎回パスワードを求めることはほとんどなく、一度だけ求めて、あなたが選んでいない場所に答えを保存します。その場所を見つけることが作業のすべてであり、もう一度リセットするより速い方法です。

各クライアントが実際に送信している内容を確認する

パスワードが問題だと決めつける前に、失敗しているクライアントのアカウント、ドメイン、ゲートウェイを確認してください。WebポータルのログインはVPN本体とは異なるIDシステムを使うことがあるため、ポータルへのログイン成功はプロトコルの認証について何も語りません。展開によってはポータルではメールアドレス、トンネルでは別のユーザー名を受け入れます。何かをリセットする前に、クライアントがどのIDを提示する設定になっているかを確認してください。

エラーテキストを読み、分類してください。証明書の失敗、期限切れのチャレンジ、未対応の暗号は古いパスワードではなく、そう扱うと効果のないリセットループを生みます。サービスにロックアウトポリシーがある場合は、二回か三回失敗した時点で止め、続行する前にアカウントの状態を確認してください。

推測せずにストアを列挙する

四つのストアがVPNのシークレットを保持しており、下の表はそれぞれについて値がどこに残るか、消去することが実際に何を意味するかを示しています。ネイティブOSプロファイルはプラットフォームの資格情報ストアにシークレットを保持するため、そのエントリは書き込んだアプリより長く残ることがあります。クライアント設定ファイルは、そのクライアントが読む場所に値を保持し、インラインか参照された認証ファイルに入るので、別のファイルを編集しても何も変わりません。ブラウザのポータルCookieとポリシーで配信される資格情報は、端末が実際には所有していない場所に存在し、それが誰に変更を許すかを決めます。

クライアントが既定で参照するOSの資格情報ストアを最初に、次にクライアント自身のボールトか設定ファイル、続いてブラウザのセッション、最後に三つすべてを上書きできるポリシーという固定された順序で確認してください。順序が重要なのは、後のストアが前のストアを黙って復元することがあり、失敗が続く間に対象の層を間違えて直すことになるからです。どのストアを変更したかを記録することが、次のリセットを丸一日ではなく二分の作業に変えるメモになります。

クライアントが実際に使うストアを見る

削除する前に読み、どのエントリがVPNのものだったかを把握してください。下のコマンドは削除ではなく一覧と確認を行うため、診断をやり直せる状態に保ちます。

# Windows credential store
cmdkey /list | findstr /i vpn

# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid

# macOS Keychain
security find-generic-password -s "Company VPN" -g

# Linux NetworkManager
nmcli -s connection show "Work" | grep -i password

Linuxでは -s がNetworkManagerが通常隠すシークレットを表示します。macOSではKeychainコマンドが保存済みの項目を出力するため、ターミナルのスクロールバックを機密として扱ってください。失敗しているクライアントが独自のボールトを持つサードパーティ製アプリの場合、OSのストアは正しく見える一方でアプリが独自のコピーを保持しており、変更はそのボールトで行うべきです。

オフラインの端末に対処する

自動で起動して再接続するノートパソコン は、コピーが存在する限り古いシークレットを提示し続けます。更新は、それらの端末が一斉に再試行する前に修正されるよう計画し、各端末がサポートされた手順を終えるまで影響を受けるプロファイルの自動接続を無効にすることを検討してください。

管理されたフリートでは、ポリシーが定義されている場所で値を変更してください。資格情報が中央で配布される端末のローカルコピーを編集してもせいぜい一時的で、次のポリシー更新で古い値が復元され、失敗が説明もなく再発します。

一回の統制された試行で確認する

対象のエントリを更新し、一度だけ再接続し、トンネルが特定の何かに到達することを確認してください。統制された一回の試行は失敗しても使えるエラーを返しますが、二十回はロックされたアカウントと謎を生みます。ストアを修正した後もクライアントが失敗する場合は、シークレットを含まないエラーを一つだけ記録して止めてください。そのエラーを端末名と一緒に残せば、次のシフトはあなたが終えた場所から始められます。

パスワード変更は証明書、セッショントークン、MFA登録には触れず、それらは独自のライフサイクルを持つ別のIDです。更新された証明書はパスワードのローテーションでは直らず、リセット前に発行されたトークンはまだ有効な場合があります。次のリセットも同じ一覧に当たるため、どのストアが古い値を保持していたかを書き留めて終えてください。