一人のユーザーがVPNにサインインできない：順序立てた診断

チームの他の全員が作業を続けているのに一人だけ接続できないとき、役に立つ問いは「何が壊れたか」ではなく「どの層が食い違ったか」です。サインインは連鎖で、クライアントが起動し、ゲートウェイが応答し、身元が表明され、第二要素が満たされ、ポリシーが評価され、そのあとで初めて通信が流れます。この連鎖のどこかで切れても、ユーザーから届くのは同じ一文なので、最初の仕事は実際に失敗した環を見つけることです。

報告は診断ではなく出発点として扱ってください。以下の確認は安いものから順に進み、それぞれ失敗した時点で調査を終えるように書かれています。

段階とタイムスタンプを確定する

設定に触れる前に、クライアントとそのバージョン、画面に出た正確な文言、試行した分、そして本人がいたネットワークの四つを書き留めます。文言は本物の情報を運び、拒否された資格情報、応答しないゲートウェイ、さらに サインインは完了したのに内部ページを開けない状態は、それぞれ別の担当者が扱う三つの別問題だからです。クライアントがローカルのログ行を出したかも記録してください、パケットを一度も送っていないクライアントはサーバー側の検索に何も足せないからです。タイムスタンプが記録されていれば、その後の照会はすべて追跡ではなく検索になります。

この時点でパスワードの推測をやめてください。アカウントに再試行の上限がある場合、短時間の連続試行でロックされ、本当の障害の上に二つ目の人工的な障害が積み重なります。すでに何回試したかを記録しておき、後でロックを新しい症状と取り違えないようにします。ロックされたアカウントは、誤ったパスワードと拒否されたポリシーを区別する能力も奪います、どちらも拒否として届くからです。

その一回の試行の身元イベントを読む

記録した分に一致する認証レコードを管理者に引き出してもらいます。Windows NPS の配備では、Microsoft のNPS トラブルシューティング ガイドが拒否イベント 6273 を、それに伴う理由コードとともに記録しており、これが通常、未知のユーザー、誤った資格情報、ポリシーの不一致、無関係な理由で切れた呼び出しを切り分けます。

空の結果も情報です。何も身元サービスに届いていなければ、試行はもっと早く死んでいます：プロファイル内の古いゲートウェイ アドレス、クライアントが到達できないリスナー、あるいはプロファイルが生き残っている間に廃止されたホストです。レコードが存在し成功を報告しているなら、資格情報は問題ではなく、議論は認可かゲートウェイ背後の経路に移ります。この二つの結果は逆方向を指すため、誰かがクライアントを再インストールする前にログ検索を行う必要があります。

理由コードをチケットに残してください。その一つの欄が、次の発生を繰り返しの調査ではなく五分の検索に変えます。クライアントのバージョンと組み合わせてください、一つのビルドだけに出るコードと、すべてのビルドに出るコードは別の会話だからです。

ポリシーの範囲内で、一度に一つの条件だけ変える

誘惑は、クライアントの再インストール、パスワードのリセット、ノートPCの別ネットワークへの移動を一度にやってしまうことです。それは症状を直すことはあっても、証拠は必ず壊します。代わりに許可された一つの交換を選びます、同じ人を二台目の登録済み端末に、または同じ端末で承認済みのテスト身元を使うのです。どの交換も一つの問いにだけ答えるので、成功すればVPN全体を責めるのではなく、変えた側に障害を絞り込めます。

この比較のために同僚の資格情報を借りないでください。サポートされた手順でテスト身元を使い、速いからといって端末キーをコピーしたり登録を飛ばしたりしないでください。ポリシーが交換を完全に禁じている場合、その制約は試験対象のシステムの一部であり、記録に残すもので、回避策に置き換えるものではありません。

元の経路で修復を確認する

壊れた環が特定できたら、その環だけを直し、元の試行を繰り返します、同じ人、同じ端末、同じネットワーク、同じアプリケーションです。管理用 VLAN から接続するテスト アカウントは、ゲートウェイが生きていることを示しますが、ユーザーの火曜日の朝については何も示しません。ユーザーには、より簡単な操作ではなく失敗した操作そのものを行ってもらってください、成功した ping は、拒否されたファイル共有についてほとんど語らないからです。

何を除外し、何が変わったかを添えてチケットを閉じてください。その記録が、一度きりの救出と、次の当番エンジニアが再利用できるものとの違いです。