Viena ierīce joprojām neizveido savienojumu pēc VPN paroles atiestatīšanas
Jaunā parole darbojas visur, izņemot vienu klientu. Atrodiet krātuvi, kurā joprojām ir vecā vērtība, ierobežojiet mēģinājumus un pārbaudiet ar vienu mēģinājumu.
Jūs atiestatījāt paroli, pārbaudījāt to portālā, un viens klēpjdators joprojām nevar izveidot savienojumu. Pirmais instinkts ir atiestatīt to vēlreiz, un tieši tā konts tiek bloķēts un novecojis noslēpums kļūst par incidentu. VPN klients reti kad prasa paroli katru reizi; tas prasa vienreiz un saglabā atbildi vietā, kuru jūs neizvēlējāties. Šīs vietas atrašana ir viss darbs, un tas ir ātrāk nekā vēl viena atiestatīšana.
Apstipriniet, ko katrs klients faktiski sūta
Pārbaudiet kontu, domēnu un vārteju klientā, kas neizdodas, pirms pieņemat, ka problēma ir parole. Tīmekļa portāla pieteikšanās var izmantot citu identitātes sistēmu nekā pats VPN, tāpēc veiksmīga portāla pieteikšanās neko nepasaka par protokola autentifikāciju. Daži izvietojumi portālā pieņem e-pastu, bet tunelī — citu lietotājvārdu. Apstipriniet, kādu identitāti klientam ir konfigurēts uzrādīt, pirms kaut ko atiestatāt.
Izlasiet kļūdas tekstu un klasificējiet to. Sertifikāta kļūme, beidzies izaicinājums vai neatbalstīts šifrs nav novecojusi parole, un attieksme pret to kā tādu rada atiestatīšanas cilpu bez efekta. Ja pakalpojumam ir bloķēšanas politika, apstājieties pēc diviem vai trim neveiksmīgiem mēģinājumiem un pirms turpināšanas apstipriniet konta stāvokli.
Uzskaitiet krātuves, nevis miniet
Četras krātuves glabā VPN noslēpumu, un tabula zemāk katrai parāda, kur vērtība saglabājas un ko tās notīrīšana patiešām nozīmē. Vietējais OS profils glabā noslēpumu platformas akreditācijas datu krātuvē, tāpēc ieraksts var pārdzīvot lietotni, kas to ierakstīja. Klienta konfigurācijas fails glabā vērtību tur, kur klients to nolasa, vai nu iekļautu, vai norādītā autentifikācijas failā, tāpēc citas faila rediģēšana neko nemaina. Pārlūkportāla sīkfails un politikas piegādātie akreditācijas dati dzīvo vietā, kuru ierīce patiešām nepieder, un tas nosaka, kam ir atļauts tos mainīt.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Pārbaudiet tos fiksētā secībā: vispirms OS akreditācijas datu krātuve, jo klients pēc noklusējuma vēršas pie tās, tad paša klienta seifs vai konfigurācijas fails, pēc tam pārlūka sesija un visbeidzot politika, kas var pārrakstīt visas trīs. Secība ir svarīga, jo vēlāka krātuve var klusi atjaunot agrāku, un jūs izlabosiet nepareizo slāni, kamēr kļūme turpinās. Pierakstiet, kuru krātuvi mainījāt, jo tieši šī piezīme padara nākamo atiestatīšanu par divu minūšu darbu, nevis visu pēcpusdienu.
Paskatieties krātuvē, ko klients patiešām izmanto
Izlasiiet pirms dzēšanas, lai zinātu, kurš ieraksts piederēja VPN. Tālāk esošās komandas uzskaita un pārbauda, nevis noņem, kas saglabā diagnostiku atgriežamu.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordOperētājsistēmā Linux -s rāda noslēpumus, ko NetworkManager citādi slēpj. Operētājsistēmā macOS Keychain komanda izdrukā saglabāto vienumu, tāpēc termināļa ritinājumu uzskatiet par sensitīvu. Ja klienta kļūme ir trešās puses lietotne ar savu seifu, OS krātuve izskatīsies pareiza, kamēr lietotne tur savu kopiju, un tieši tajā seifā ir jāveic izmaiņa.
Rīkojieties ar ierīcēm, kas ir bezsaistē
Klēpjdatori, kas paši mostas un atkārtoti izveido savienojumu turpinās uzrādīt veco noslēpumu, kamēr vien pastāvēs to kopija. Plānojiet atjauninājumu tā, lai šīs ierīces tiktu izlabotas pirms tās vienlaikus mēģinās vēlreiz, un apsveriet automātiskā savienojuma atslēgšanu skartajā profilā, līdz katra būs izgājusi atbalstīto plūsmu.
Pārvaldītam parkam mainiet vērtību tur, kur definēta politika. Lokālas kopijas rediģēšana ierīcē, kuras akreditācijas dati tiek nodrošināti centralizēti, labākajā gadījumā ir īslaicīga; nākamā politikas atsvaidzināšana atjauno veco vērtību, un kļūme atgriežas bez paskaidrojuma.
Pārbaudiet ar vienu kontrolētu mēģinājumu
Atjauniniet paredzēto ierakstu, vienreiz pievienojieties no jauna un apstipriniet, ka tunelis sasniedz kaut ko konkrētu. Viens kontrolēts mēģinājums neizdošanās gadījumā dod izmantojamu kļūdu, bet divdesmit dod bloķētu kontu un mīklu. Ja klients joprojām neizdodas pēc krātuves izlabošanas, tveriet vienu kļūdu bez noslēpumiem un apstājieties. Saglabājiet šo kļūdu kopā ar ierīces nosaukumu, lai nākamā maiņa sākas tur, kur jūs beidzāt.
Paroles maiņa neaizskar sertifikātus, sesijas marķierus vai MFA reģistrāciju, un tās ir atsevišķas identitātes ar savu dzīves ciklu. Atjauninātu sertifikātu neizlabo, rotējot paroli, un pirms atiestatīšanas izsniegts marķieris joprojām var būt derīgs. Beidziet, pierakstot, kurā krātuvē bija novecojusī vērtība, jo nākamā atiestatīšana saskarsies ar to pašu sarakstu.