Vienas įrenginys vis tiek neprisijungia po VPN slaptažodžio atstatymo
Naujas slaptažodis veikia visur, išskyrus vieną klientą. Raskite saugyklą, kurioje dar yra sena reikšmė, apribokite bandymus ir patikrinkite vienu bandymu.
Atstatėte slaptažodį, patikrinote jį portale, o vienas nešiojamas kompiuteris vis tiek negali prisijungti. Pirmas impulsas – atstatyti dar kartą, ir būtent taip paskyra užrakinama, o pasenusi paslaptis tampa incidentu. VPN klientas retai kada prašo slaptažodžio kiekvieną kartą; jis paprašo vieną kartą ir išsaugo atsakymą vietoje, kurios nepasirinkote. Rasti tą vietą – visas darbas, ir tai greičiau nei dar vienas atstatymas.
Patvirtinkite, ką iš tikrųjų siunčia kiekvienas klientas
Patikrinkite paskyrą, domeną ir šliuzą nepavykstančiame kliente, prieš manydami, kad problema yra slaptažodis. Prisijungimas prie žiniatinklio portalo gali naudoti kitą tapatybės sistemą nei pats VPN, todėl sėkmingas prisijungimas prie portalo nieko nesako apie protokolo autentifikavimą. Kai kurie diegimai portale priima elektroninio pašto adresą, o tunelyje – kitą naudotojo vardą. Patvirtinkite, kokią tapatybę klientas sukonfigūruotas pateikti, prieš ką nors atstatydami.
Perskaitykite klaidos tekstą ir jį suklasifikuokite. Sertifikato gedimas, pasibaigęs iššūkis ar nepalaikomas šifras nėra pasenęs slaptažodis, ir traktavimas kaip tokio sukuria atstatymo ciklą be poveikio. Jei paslauga turi užrakinimo politiką, sustokite po dviejų ar trijų nepavykusių bandymų ir patvirtinkite paskyros būseną prieš tęsdami.
Išvardykite saugyklas, o ne spėliokite
Keturiose saugyklose laikoma VPN paslaptis, o toliau pateikta lentelė kiekvienai parodo, kur reikšmė išlieka ir ką iš tikrųjų reiškia ją išvalyti. Vietinis OS profilis laiko paslaptį platformos prisijungimo duomenų saugykloje, todėl įrašas gali pergyventi jį įrašiusią programą. Kliento konfigūracijos failas laiko reikšmę ten, kur tas klientas ją skaito, arba įterptą, arba nurodytame autentifikavimo faile, todėl kito failo redagavimas nieko nekeičia. Naršyklės portalo slapukas ir politikos pateikti prisijungimo duomenys gyvena ten, ko įrenginys iš tikrųjų neturi, ir tai lemia, kam leidžiama juos keisti.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Tikrinkite juos fiksuota tvarka: pirmiausia OS prisijungimo duomenų saugyklą, nes klientas jos klausia pagal numatytuosius nustatymus, tada paties kliento saugyklą ar konfigūracijos failą, po to naršyklės sesiją ir galiausiai politiką, kuri gali perrašyti visas tris. Tvarka svarbi, nes vėlesnė saugykla gali tyliai atkurti ankstesnę, ir jūs sutaisysite ne tą sluoksnį, kol gedimas tęsis. Užsirašykite, kurią saugyklą pakeitėte, nes būtent ši pastaba kitą atstatymą paverčia dviejų minučių darbu, o ne visu popietės darbu.
Pažiūrėkite į saugyklą, kurią klientas iš tikrųjų naudoja
Perskaitykite prieš ištrindami, kad žinotumėte, kuris įrašas priklausė VPN. Toliau pateiktos komandos išvardija ir apžiūri, o ne pašalina, todėl diagnostika išlieka grįžtama.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordLinux sistemoje -s rodo paslaptis, kurias NetworkManager kitu atveju slepia. macOS sistemoje Keychain komanda išspausdina saugomą elementą, todėl terminalo slinkimą traktuokite kaip konfidencialų. Jei nepavykstantis klientas yra trečiosios šalies programa su sava saugykla, OS saugykla atrodys teisingai, kol programa laiko savo kopiją, ir būtent toje saugykloje reikia atlikti pakeitimą.
Tvarkykite įrenginius, kurie yra neprisijungę
Nešiojamieji kompiuteriai, kurie patys pabunda ir vėl prisijungia toliau pateiks seną paslaptį tol, kol egzistuos jų kopija. Suplanuokite atnaujinimą taip, kad tie įrenginiai būtų pataisyti prieš jiems vėl bandant visiems iš karto, ir apsvarstykite galimybę išjungti automatinį prisijungimą paveiktame profilyje, kol kiekvienas nepraeis palaikomo srauto.
Valdomai parko daliai pakeiskite reikšmę ten, kur apibrėžta politika. Vietinės kopijos redagavimas įrenginyje, kurio prisijungimo duomenys tiekiami centralizuotai, geriausiu atveju yra laikinas; kitas politikos atnaujinimas atkuria seną reikšmę, ir gedimas grįžta be paaiškinimo.
Patikrinkite vienu kontroliuojamu bandymu
Atnaujinkite numatytą įrašą, vieną kartą prisijunkite iš naujo ir patvirtinkite, kad tunelis pasiekia ką nors konkretaus. Vienas kontroliuojamas bandymas nepavykus duoda naudingą klaidą, o dvidešimt – užrakintą paskyrą ir mįslę. Jei klientas vis tiek nepavyksta sutvarkius saugyklą, užfiksuokite vieną klaidą be paslapčių ir sustokite. Išsaugokite tą klaidą su įrenginio pavadinimu, kad kita pamaina pradėtų ten, kur baigėte.
Slaptažodžio keitimas nepaliečia sertifikatų, sesijos žetonų ar MFA registracijos, ir tai yra atskiros tapatybės su savo gyvavimo ciklu. Atnaujintas sertifikatas netaisomas sukant slaptažodį, o prieš atstatymą išduotas žetonas gali vis dar galioti. Užbaikite užsirašydami, kurioje saugykloje buvo pasenusi reikšmė, nes kitas atstatymas susidurs su tuo pačiu sąrašu.