VPN autentifikacija nepavyko: retai kaltas prievadas ar DNS

Autentifikacijos nepavyko reiškia, kad paslauga gavo tapatybę ir ją atmetė, o tai siauresnis teiginys, nei dauguma įsivaizduoja. Prievadas atidarytas, TLS sesija galėjo būti visiškai sukurta, o kažkas prisijungimo duomenyse ar paskyroje buvo atmesta. Klaidos tekstas jau nurodo etapą, tad pradėkite nuo jo.

Klaida jau pasakė, kuris etapas nepavyko

Ryšys, kuris niekada neužbaigia TLS rankos paspaudimo, autentifikacijos apskritai nepasiekė. Ryšys, kuris užbaigia rankos paspaudimą ir tada praneša apie prisijungimo duomenų atmetimą, ją pasiekė ir ten nepavyko. Šie du rezultatai reikalauja skirtingų tyrimų, ir jie dažnai painiojami, nes abu baigiasi uždaru langu.

OpenVPN aiškiai parodo skirtumą serverio AUTH_FAILED pranešimu, kuris yra sprendimas, o ne transporto klaida. TLS derybų laiko limitas arba sertifikato patikrinimo klaida priklauso ankstesniam etapui. Perskaitykite, kuris iš jų yra pas jus, prieš liesdami prisijungimo duomenis, nes slaptažodžio atkūrimas nepataisys rankos paspaudimo, o ugniasienės pakeitimas nepataisys atmesto prisijungimo. Viena kliento žurnalo eilutė atsako į klausimą.

Ta pati logika galioja sesijai, kuri prisijungia ir vėliau nutrūksta. Pakartotinės autentifikacijos gedimas keturiasdešimtą minutę yra kitoks defektas nei atmetimas pirmą kartą prisijungus, o intervalas yra užuomina.

Patvirtinkite, kad profilis nurodo tinkamą paslaugą

Paskyra, naudojama tiekėjo svetainėje, ne visada yra ta paskyra, kurią priima jo VPN šliuzas. Išsaugotas profilis taip pat gali rodyti seną šliuzą dar ilgai po to, kai paslauga persikėlė.

Palyginkite profilyje nurodytą pabaigos tašką su operatoriaus paskelbtu ir patikrinkite, kokią tapatybės sistemą konsultuoja šliuzas. Slaptažodžio atkūrimas žiniatinklio portale nieko nepakeis, jei tunelis autentifikuojasi atskirame kataloge. Nesusijusio viešo serverio prisijungimo duomenys jūsų serveryje neveiks, o darbo slaptažodžio bandymas profilyje, gautame per nepatikimą pranešimą, bet kuriuo atveju yra blogas mainas. Patvirtinkite kilmę prieš ką nors įvesdami.

Dvi minutės prie profilio apsaugo nuo dienos spėliojimų dėl prisijungimo duomenų.

Prisijungimo formatas yra prisijungimo duomenų dalis

Vartotojo vardui gali reikėti el. pašto formos, domeno priešdėlio ar katalogo priesagos. Šliuzas lygina gautą eilutę, tad forma yra prisijungimo duomenų dalis, o ne puošmena.

Tada pašalinkite nuobodžias priežastis prieš eskaluodami. Patikrinkite klaviatūros išdėstymą, bet kokį nukopijuotą galinį tarpą ir seną įrašą slaptažodžių tvarkyklėje. Po atkūrimo patvirtinkite, kad VPN naudoja tą patį tapatybės šaltinį kaip puslapis, kuriame buvo pakeistas slaptažodis. Jei šios detalės teisingos, nustokite spėlioti ir paklauskite operatoriaus, ar paskyra įjungta ir ar jai leista naudotis VPN. Tai paslaugos pusės pataisa, o ne kliento nustatymas.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Žurnalo eilutė su AUTH_FAILED paprastai apima priežasties kodą arba iššūkio eilutę. Nukopijuokite ją tiksliai, o ne perpasakokite, kai prašote pagalbos.

Antrieji veiksniai turi savo sutartį

Profilis gali tikėtis vienkartinio kodo, interaktyvaus iššūkio arba prisijungimo naršyklėje, kuris grąžina prieigos raktą klientui. Naudokite operatoriaus palaikomą eigą, o ne išgalvokite savą.

Nepridėkite kodo prie slaptažodžio, nebent to formato aiškiai reikalaujama, nes kai kurios diegtys naudoja atskirą lauką, o kitos – iššūkio eilutę. Laiku pagrįstiems kodams patikrinkite įrenginio laikrodį, nes kelių minučių nuokrypis padaro kiekvieną kodą negaliojantį. Jei prisijungimas naršyklėje pavyksta, o klientas niekada neatsinaujina, užsirašykite būtent tą tašką, nes jis nurodo perdavimą, o ne prisijungimo duomenis. Dar vienas slaptažodžio atkūrimas vargu ar padės.

Sesijų limitas yra kitas dažnas atmetimas. Jei paskyra leidžia vieną sesiją, antras prisijungimas gali nutraukti pirmą, o simptomas atrodo kaip plakanti jungtis, o ne politika.

Sertifikatas nėra slaptažodis

Kliento sertifikatas gali pasibaigti arba būti atšauktas, kol paskyros slaptažodis išlieka visiškai teisingas. Privataus rakto slaptafrazė vėl yra trečia paslaptis, ir ji saugo failą, o ne paskyrą.

Perskaitykite klaidą prieš ką nors keisdami, tada gaukite tinkamą pakaitalą iš patvirtinto operatoriaus. Darydami tai palikite įjungtą serverio tapatybės patikrinimą: priimti nesusijusį sertifikatą ar nusikopijuoti kito privataus rakto nėra taisymas, tai antras incidentas. Tada išbandykite išteklių, kurio iš tikrųjų reikia, nes prijungtas tunelis su nepasiekiama paslauga priklauso kitam tyrimui. Užsirašykite, kuris etapas nepavyko, kad kitas žmogus nepradėtų viso proceso iš naujo.

Jei sesija užmezgama ir vėliau nepavyksta, užrašykite intervalą ir artimiausius atnaujinimo įvykius. Šis įrašas atskiria prieigos rakto galiojimo problemą nuo pirmojo prisijungimo gedimo, ir tai yra skirtumas tarp penkių minučių pataisos ir savaitės pakartotinių bandymų.