Viens lietotājs nevar pieteikties VPN: sakārtota diagnostika

Kad viens cilvēks nevar pieslēgties, kamēr pārējā komanda turpina strādāt, noderīgais jautājums nav, kas ir salūzis, bet kura slāne nebija vienojusies. Pieteikšanās ir ķēde: klients sāk, vārteja atbild, identitāte tiek apgalvota, otrs faktors tiek izpildīts, politika tiek novērtēta, un tikai tad plūst trafiks. Jebkurš pārrāvums šajā ķēdē nonāk pie jums kā tas pats lietotāja teikums, tāpēc pirmais uzdevums ir atrast posmu, kas patiešām neizdevās.

Uztveriet ziņojumu kā sākumpunktu, nevis diagnozi. Zemāk esošās pārbaudes sākas ar lētāko, un katra ir uzrakstīta tā, lai izbeigtu izmeklēšanu, kad tā neizdodas.

Nosakiet posmu un laika zīmi

Pierakstiet četras lietas, pirms pieskaraties jebkurai konfigurācijai: klientu un tā versiju, precīzo formulējumu ekrānā, mēģinājuma minūti un tīklu, kurā cilvēks atradās. Formulējums nes īstu informāciju, jo noraidīti pieteikšanās dati, vārteja, kas neatbild, un pabeigta pieteikšanās, kas tomēr nevar atvērt iekšēju lapu ir trīs dažādas problēmas ar trim dažādiem atbildīgajiem. Ņemiet vērā, vai klients izveidoja lokālu žurnāla rindu, jo klientam, kas nekad nav nosūtījis paketi, nav ko pievienot servera puses meklēšanai. Kad laika zīme ir reģistrēta, katra turpmākā vaicājums kļūst par meklēšanu, nevis medībām.

Šajā punktā pārtrauciet minēt paroles. Kur kontam ir atkārtotu mēģinājumu ierobežojums, ātru mēģinājumu plūsma var to bloķēt un virs īstās kļūdas uzlikt otru, mākslīgu kļūdu. Pierakstiet, cik mēģinājumu jau veikts, lai bloķējums vēlāk netiktu sajaukts ar jaunu simptomu. Bloķēts konts arī atņem iespēju atšķirt nepareizu paroli no noraidītas politikas, jo abas pienāk kā atteikums.

Izlasiet identitātes notikumu šim vienīgajam mēģinājumam

Lūdziet administratoram izvilkt autentifikācijas ierakstu, kas atbilst pierakstītajai minūtei. Windows NPS izvietojumā Microsoft NPS problēmu novēršanas rokasgrāmata dokumentē noraidīšanas notikumu 6273 kopā ar tam pievienoto iemesla kodu, un tas parasti atdala nezināmu lietotāju, sliktus pieteikšanās datus, politikas neatbilstību un zvanu, kas pārtraukts nesaistīta iemesla dēļ.

Tukšs rezultāts arī ir informācija. Ja nekas nesasniedza identitātes servisu, mēģinājums nomira agrāk: novecojusi vārtejas adrese profilā, klausītājs, kuram klients nevar piekļūt, vai resursdators, kas tika izņemts no ekspluatācijas, kamēr profils turpināja dzīvot. Ja ieraksts pastāv un ziņo par panākumiem, pieteikšanās dati nav problēma, un arguments pāriet uz autorizāciju vai maršrutēšanu aiz vārtejas. Šie divi iznākumi norāda pretējos virzienos, tāpēc žurnāla meklēšanai jānotiek pirms kāds pārinstalē klientu.

Glabājiet iemesla kodu biļetē. Tas viens lauks pārvērš nākamo gadījumu piecu minūšu meklēšanā, nevis atkārtotā izmeklēšanā. Savienojiet to ar klienta versiju, jo kods, kas parādās vienā būvējumā, ir cita saruna nekā kods, kas parādās katrā būvējumā.

Mainiet vienu nosacījumu vienlaikus, politikas ietvaros

Kārdinājums ir vienā piegājienā pārinstalēt klientu, atiestatīt paroli un pārvietot klēpjdatoru uz citu tīklu. Tas dažreiz novērš simptomu un vienmēr iznīcina pierādījumus. Tā vietā izvēlieties vienu atļautu apmaiņu: tas pats cilvēks otrajā reģistrētajā ierīcē vai apstiprināta testa identitāte tajā pašā ierīcē. Katra apmaiņa atbild tieši uz vienu jautājumu, tāpēc panākumi sašaurina kļūdu uz to pusi, kuru mainījāt, nevis vaino visu VPN.

Neaizņemieties kolēģa pieteikšanās datus šim salīdzinājumam. Izmantojiet testa identitāti atbalstītajā procesā un nekad nekopējiet ierīces atslēgu vai neizlaidiet reģistrāciju tāpēc, ka tā būtu ātrāk. Kur politika pilnībā aizliedz apmaiņu, šis ierobežojums ir pārbaudāmās sistēmas daļa un pieder ierakstam, nevis apietajam risinājumam.

Apstipriniet labošanu sākotnējā ceļā

Kad bojātais posms ir noteikts, labojiet tikai to posmu un atkārtojiet sākotnējo mēģinājumu: tas pats cilvēks, tā pati ierīce, tas pats tīkls, tā pati lietotne. Testa konts, kas pieslēdzas no administratora VLAN, pierāda, ka vārteja ir dzīva, un nepierāda neko par lietotāja otrdienas rītu. Lūdziet lietotājam veikt neizdevušos darbību, nevis vienkāršāku, jo veiksmīgs ping maz pasaka par noraidītu failu koplietošanu.

Aizveriet biļeti ar to, kas tika izslēgts un kas mainījās. Šī piezīme ir atšķirība starp vienreizēju glābšanu un kaut ko tādu, ko nākamais dežurējošais inženieris varēs izmantot atkārtoti.