VPN認証の失敗：原因はポートやDNSであることはほとんどない

認証に失敗したというのは、サービスが身元を受け取り、それを拒否したという意味で、多くの人がそこから読み取るより狭い話です。ポートは開いており、TLSセッションは完了している可能性もあり、資格情報かアカウントのどこかが拒否されています。ネットワーク設定を変えても直りませんし、試行を繰り返すとアカウントがロックされることがあります。エラーの文言はすでに段階を示しているので、そこから始めてください。

エラーはどの段階で失敗したかをすでに示していた

TLSハンドシェイクを決して完了しない接続は、認証にまったく到達していない。ハンドシェイクを完了したうえで資格情報の拒否を報告する接続は、そこに到達して失敗しています。この二つの結果は別の調査を必要とし、どちらも閉じたウィンドウで終わるため、しばしば混同されます。

OpenVPNはサーバーからのAUTH_FAILEDメッセージで区別を明示しており、これは転送エラーではなく判断です。TLSネゴシエーションのタイムアウトや証明書検証のエラーは前の段階に属します。資格情報に触れる前にどちらなのかを読み取ってください。パスワードの再設定はハンドシェイクを直せず、ファイアウォールの変更は拒否されたログインを直せないからです。クライアントログの一行がその問いに答えます。

同じ論理は、接続したあとで切断されるセッションにも当てはまります。四十分の時点での再認証の失敗は、初回ログインの拒否とは別の不具合であり、その間隔が手がかりです。

プロファイルが正しいサービスを指していることを確認する

プロバイダーのウェブサイトで使うアカウントが、そのVPNゲートウェイが受け付けるアカウントと同じとは限りません。保存されたプロファイルは、サービスが移転したずっと後でも古いゲートウェイを指していることがあります。

プロファイルのエンドポイントを運用者が公開したものと照合し、ゲートウェイがどのIDシステムを参照するかを確認してください。トンネルが別のディレクトリで認証している場合、ウェブポータルでのパスワード再設定は何も変えません。無関係な公開サーバーの資格情報はあなたの環境では機能せず、信頼できないメッセージで受け取ったプロファイルで仕事用パスワードを試すのは、いずれにせよ悪い取引です。何かを入力する前に出所を確認してください。

プロファイルに二分間かけることで、資格情報を一日推測せずに済みます。

ログインの形式は資格情報の一部である

ユーザー名にはメール形式、ドメイン接頭辞、ディレクトリ接尾辞が必要な場合があります。ゲートウェイは受け取った文字列を比較するので、形式は飾りではなく資格情報の一部です。

次に、エスカレーションする前に退屈な原因を排除します。キーボード配列、コピーで入った末尾の空白、パスワードマネージャーの古い項目を確認してください。再設定のあとは、VPNがパスワードを変更したページと同じIDソースを使っていることを確認します。それらの詳細が正しければ、推測をやめて、アカウントが有効でVPNアクセスが許可されているかを運用者に尋ねてください。それはクライアント設定ではなくサービス側の修正です。

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

AUTH_FAILEDを含むログ行には、通常は理由コードやチャレンジ文字列が含まれます。助けを求める際は言い換えず、そのままコピーしてください。

第二要素には独自の契約がある

プロファイルは、ワンタイムコード、対話的なチャレンジ、またはクライアントにトークンを返すブラウザーサインインを期待することがあります。自分で考案するのではなく、運用者がサポートする流れを使ってください。

その形式が明示的に要求されていない限り、パスワードにコードを付け加えないでください。別のフィールドを使う配備もあれば、チャレンジ文字列を使う配備もあるからです。時刻ベースのコードでは端末の時計を確認してください。数分のずれでどのコードも無効になります。ブラウザーのサインインが成功したのにクライアントが再開しない場合は、その正確な地点を記録してください。資格情報ではなく受け渡しを示しているからです。もう一度パスワードを再設定しても助からないでしょう。

セッション上限もよくある拒否です。アカウントが一つのセッションしか許さない場合、二度目のログインが最初のものを終了させることがあり、症状はポリシーではなく接続の断続に見えます。

証明書はパスワードではない

アカウントのパスワードが完全に正しくても、クライアント証明書は期限切れや失効を起こし得ます。秘密鍵のパスフレーズはまた別の第三の秘密であり、アカウントではなくファイルを守ります。

何かを交換する前にエラーを読み、そのうえで確認済みの運用者から正しい交換品を入手してください。その間もサーバー身元の検証は有効にしておきます。無関係な証明書を受け入れたり他人の秘密鍵をコピーしたりするのは修理ではなく、二度目の事故です。そのうえで本当に必要なリソースを試してください。到達できないサービスを伴う接続済みのトンネルは別の調査に属します。どの段階で失敗したかを書き留め、次の人がプロセス全体をやり直さないようにしてください。

セッションが確立して後から失敗する場合は、その間隔と近くの更新イベントを記録してください。その記録はトークンの寿命の問題と初回ログインの失敗を分け、五分で直る話と一週間の再試行の差になります。