VPN 인증 실패: 원인은 포트나 DNS인 경우가 드물다

인증 실패는 서비스가 신원을 받아들였다가 거부했다는 뜻으로, 대부분이 짐작하는 것보다 좁은 진술입니다. 포트는 열려 있고 TLS 세션은 완료되었을 수 있으며, 자격 증명이나 계정 어딘가가 거부된 것입니다. 네트워크 설정을 바꿔도 고칠 수 없고, 시도를 반복하면 계정이 잠길 수 있습니다. 오류 문구가 이미 단계를 알려 주므로 거기서 시작하십시오.

오류는 이미 어느 단계에서 실패했는지 알려 주었다

TLS 핸드셰이크를 끝내지 못하는 연결은 인증에 아예 도달하지 못한 것이다. 핸드셰이크를 마친 뒤 자격 증명 거부를 보고하는 연결은 거기에 도달해 실패한 것이다. 이 두 결과는 서로 다른 조사가 필요하며, 둘 다 닫힌 창으로 끝나기 때문에 자주 혼동됩니다.

OpenVPN은 서버의 AUTH_FAILED 메시지로 차이를 분명히 보여 주며, 이는 전송 오류가 아니라 결정입니다. TLS 협상 시간 초과나 인증서 검증 오류는 앞 단계에 속합니다. 자격 증명을 건드리기 전에 어느 쪽인지 읽어 보십시오. 암호 재설정은 핸드셰이크를 고칠 수 없고 방화벽 변경은 거부된 로그인을 고칠 수 없기 때문입니다. 클라이언트 로그 한 줄이 그 질문에 답합니다.

같은 논리가 연결되었다가 나중에 끊기는 세션에도 적용됩니다. 사십 분 시점의 재인증 실패는 첫 로그인 거부와 다른 결함이며, 그 간격이 단서입니다.

프로필이 올바른 서비스를 가리키는지 확인하십시오

공급자 웹사이트에서 쓰는 계정이 항상 그 VPN 게이트웨이가 받아들이는 계정은 아닙니다. 저장된 프로필은 서비스가 이전한 뒤 오래도록 옛 게이트웨이를 가리킬 수도 있습니다.

프로필의 엔드포인트를 운영자가 공개한 것과 비교하고, 게이트웨이가 어느 신원 시스템을 참조하는지 확인하십시오. 터널이 별도 디렉터리에 대해 인증한다면 웹 포털의 암호 재설정은 아무것도 바꾸지 못합니다. 무관한 공개 서버의 자격 증명은 당신의 서버에서 작동하지 않으며, 신뢰할 수 없는 메시지로 받은 프로필에서 업무 암호를 시험하는 것은 어쨌든 나쁜 거래입니다. 무언가를 입력하기 전에 출처를 확인하십시오.

프로필에 이 분을 쓰면 자격 증명을 하루 동안 추측하지 않아도 됩니다.

로그인 형식은 자격 증명의 일부이다

사용자 이름에는 이메일 형식, 도메인 접두사 또는 디렉터리 접미사가 필요할 수 있습니다. 게이트웨이는 받은 문자열을 비교하므로 형식은 장식이 아니라 자격 증명의 일부입니다.

그다음 단계를 올리기 전에 지루한 원인을 배제하십시오. 키보드 배열, 복사로 들어간 끝 공백, 암호 관리자의 오래된 항목을 확인하십시오. 재설정 뒤에는 VPN이 암호를 바꾼 페이지와 같은 신원 원본을 쓰는지 확인하십시오. 그 세부 사항이 맞다면 추측을 멈추고 계정이 VPN 접근에 대해 활성화되고 승인되었는지 운영자에게 물으십시오. 그것은 클라이언트 설정이 아니라 서비스 측 수정입니다.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

AUTH_FAILED를 담은 로그 줄에는 보통 이유 코드나 챌린지 문자열이 포함됩니다. 도움을 요청할 때는 바꿔 말하지 말고 그대로 복사하십시오.

두 번째 요소에는 그들만의 계약이 있다

프로필은 일회용 코드, 상호작용 챌린지, 또는 클라이언트에 토큰을 돌려주는 브라우저 로그인을 기대할 수 있습니다. 스스로 고안하지 말고 운영자가 지원하는 흐름을 쓰십시오.

그 형식이 명시적으로 요구되지 않는 한 암호에 코드를 덧붙이지 마십시오. 일부 배포는 별도 필드를, 일부는 챌린지 문자열을 쓰기 때문입니다. 시간 기반 코드의 경우 기기 시계를 확인하십시오. 몇 분의 차이만으로도 모든 코드가 무효가 됩니다. 브라우저 로그인이 성공했는데 클라이언트가 이어지지 않으면 바로 그 지점을 기록하십시오. 자격 증명이 아니라 인계를 가리키기 때문입니다. 암호를 한 번 더 재설정해도 도움이 되지 않을 것입니다.

세션 한도도 흔한 거부입니다. 계정이 한 세션만 허용하면 두 번째 로그인이 첫 번째를 종료시킬 수 있고, 증상은 정책이 아니라 흔들리는 연결처럼 보입니다.

인증서는 암호가 아니다

계정 암호가 완전히 올바른데도 클라이언트 인증서가 만료되거나 폐기될 수 있습니다. 개인 키 암호 문구는 다시 세 번째 비밀이며, 계정이 아니라 파일을 보호합니다.

무엇이든 교체하기 전에 오류를 읽고, 확인된 운영자에게 올바른 교체품을 받으십시오. 그동안 서버 신원 검증은 켜 둔 채로 두십시오. 무관한 인증서를 받아들이거나 다른 사람의 개인 키를 복사하는 것은 수리가 아니라 두 번째 사고입니다. 그다음 실제로 필요한 자원을 시험하십시오. 접근할 수 없는 서비스가 있는 연결된 터널은 다른 조사에 속합니다. 어느 단계에서 실패했는지 적어 두어 다음 사람이 전체 과정을 다시 시작하지 않게 하십시오.

세션이 성립한 뒤 나중에 실패하면 간격과 주변의 갱신 이벤트를 기록하십시오. 그 기록은 토큰 수명 문제와 첫 로그인 실패를 구분하며, 오 분의 수정과 일주일의 재시도 사이의 차이입니다.