한 사용자가 VPN에 로그인하지 못할 때: 순서대로 하는 진단

팀의 나머지가 계속 일하는데 한 사람만 연결하지 못한다면, 유용한 질문은 무엇이 고장 났느냐가 아니라 어느 계층이 서로 맞지 않았느냐입니다. 로그인은 사슬이어서 클라이언트가 시작하고, 게이트웨이가 응답하고, 신원이 주장되고, 두 번째 요소가 충족되고, 정책이 평가되며, 그다음에야 트래픽이 흐릅니다. 그 사슬 어디에서든 끊어지면 사용자에게서는 같은 문장으로 도착하므로, 첫 번째 일은 실제로 실패한 고리를 찾는 것입니다.

보고서를 진단이 아니라 출발점으로 다루십시오. 아래 점검은 가장 저렴한 것부터 시작하며, 각각은 실패할 때 조사를 끝내도록 쓰여 있습니다.

단계와 타임스탬프를 확정하십시오

어떤 구성도 건드리기 전에 네 가지를 적으십시오：클라이언트와 그 버전, 화면에 나온 정확한 문구, 시도한 분, 그리고 그 사람이 있던 네트워크입니다. 문구는 실제 정보를 담습니다, 거부된 자격 증명, 응답하지 않는 게이트웨이, 그리고 로그인은 끝났는데도 내부 페이지를 열지 못하는 상태는 각각 다른 담당자가 맡는 세 가지 다른 문제이기 때문입니다. 클라이언트가 로컬 로그 줄을 만들었는지도 기록하십시오, 패킷을 한 번도 보내지 않은 클라이언트는 서버 측 검색에 보탤 것이 없기 때문입니다. 타임스탬프가 기록되면 이후의 모든 조회는 추적이 아니라 검색이 됩니다.

이 시점에서 비밀번호 추측을 멈추십시오. 계정에 재시도 한도가 있는 곳에서는 짧은 시간의 연속 시도가 계정을 잠그고, 진짜 고장 위에 두 번째 인위적 고장을 더합니다. 이미 몇 번 시도했는지 기록해 두어, 나중에 잠금을 새 증상으로 착각하지 않게 하십시오. 잠긴 계정은 잘못된 비밀번호와 거부된 정책을 구분할 능력도 앗아갑니다, 둘 다 거부로 도착하기 때문입니다.

그 한 번의 시도에 대한 신원 이벤트를 읽으십시오

기록한 분과 일치하는 인증 레코드를 관리자에게 꺼내 달라고 하십시오. Windows NPS 배포에서 Microsoft의 NPS 문제 해결 지침은 거부 이벤트 6273을 함께 오는 사유 코드와 함께 문서화하며, 이것이 보통 알 수 없는 사용자, 잘못된 자격 증명, 정책 불일치, 관련 없는 이유로 끊긴 호출을 구분합니다.

빈 결과도 정보입니다. 아무것도 신원 서비스에 도달하지 않았다면 시도는 더 일찍 죽었습니다：프로필의 오래된 게이트웨이 주소, 클라이언트가 닿을 수 없는 리스너, 또는 프로필이 살아 있는 동안 퇴역한 호스트입니다. 레코드가 있고 성공을 보고한다면 자격 증명이 문제가 아니며, 논의는 권한 부여나 게이트웨이 뒤의 라우팅으로 옮겨집니다. 이 두 결과는 반대 방향을 가리키므로, 누군가 클라이언트를 다시 설치하기 전에 로그 검색이 이루어져야 합니다.

사유 코드를 티켓에 남기십시오. 그 한 필드가 다음 발생을 반복 조사가 아니라 오 분짜리 검색으로 바꿉니다. 클라이언트 버전과 함께 기록하십시오, 한 빌드에만 나타나는 코드와 모든 빌드에 나타나는 코드는 다른 대화이기 때문입니다.

정책 안에서 한 번에 한 조건만 바꾸십시오

유혹은 클라이언트 재설치, 비밀번호 재설정, 노트북을 다른 네트워크로 옮기는 일을 한 번에 해버리는 것입니다. 그것은 증상을 고칠 때도 있지만 증거는 항상 파괴합니다. 대신 허용된 한 가지 교체를 고르십시오, 같은 사람을 두 번째 등록 장치에 두거나, 같은 장치에서 승인된 테스트 신원을 쓰는 것입니다. 각 교체는 정확히 한 가지 질문에 답하므로, 성공하면 VPN 전체를 탓하는 대신 바꾼 쪽으로 결함을 좁힐 수 있습니다.

이 비교를 위해 동료의 자격 증명을 빌리지 마십시오. 지원되는 절차로 테스트 신원을 사용하고, 더 빠르다는 이유로 장치 키를 복사하거나 등록을 건너뛰지 마십시오. 정책이 교체를 전면 금지하는 곳에서는 그 제한이 시험 대상 시스템의 일부이며 기록에 남겨야 하고, 우회책으로 대체해서는 안 됩니다.

원래 경로에서 복구를 확인하십시오

끊어진 고리가 확인되면 그 고리만 고치고 원래 시도를 반복하십시오, 같은 사람, 같은 장치, 같은 네트워크, 같은 애플리케이션입니다. 관리 VLAN에서 접속하는 테스트 계정은 게이트웨이가 살아 있음을 증명하지만, 사용자의 화요일 아침에 대해서는 아무것도 증명하지 않습니다. 사용자에게 더 간단한 동작이 아니라 실패한 동작 자체를 수행하도록 요청하십시오, 성공한 ping은 거부된 파일 공유에 대해 거의 말해 주지 않습니다.

무엇이 배제되었고 무엇이 바뀌었는지 적어 티켓을 닫으십시오. 그 기록이 일회성 구조와 다음 당직 엔지니어가 재사용할 수 있는 것의 차이입니다.