VPN autentifikācija neizdevās: reti vainojams ports vai DNS

Autentifikācija neizdevās nozīmē, ka serviss saņēma identitāti un to noraidīja, kas ir šaurāks apgalvojums, nekā vairums tajā ielasa. Ports ir atvērts, TLS sesija, iespējams, ir pilnībā izveidota, un kaut kas akreditācijas datos vai kontā tika noraidīts. Kļūdas teksts jau nosauc posmu, tāpēc sāciet ar to.

Kļūda jau pateica, kurš posms neizdevās

Savienojums, kas nekad nepabeidz TLS rokasspiedienu, autentifikāciju vispār nav sasniedzis. Savienojums, kas pabeidz rokasspiedienu un pēc tam ziņo par akreditācijas datu noraidījumu, to ir sasniedzis un tur neizdevās. Šiem diviem iznākumiem vajadzīga atšķirīga izmeklēšana, un tos bieži jauc, jo abi beidzas ar aizvērtu logu.

OpenVPN padara atšķirību skaidru ar servera AUTH_FAILED ziņojumu, kas ir lēmums, nevis transporta kļūda. TLS sarunu taimauts vai sertifikāta pārbaudes kļūda pieder iepriekšējam posmam. Izlasiet, kurš no tiem jums ir, pirms aiztiekat akreditācijas datus, jo paroles atiestatīšana nevar salabot rokasspiedienu, un ugunsmūra maiņa nevar salabot noraidītu pieteikšanos. Viena klienta žurnāla rinda atbild uz jautājumu.

Tā pati loģika attiecas uz sesiju, kas pieslēdzas un pēc tam pārtrūkst. Atkārtotas autentifikācijas kļūme četrdesmitajā minūtē ir cits defekts nekā noraidījums pirmajā pieteikšanās reizē, un intervāls ir pavediens.

Apstipriniet, ka profils norāda uz pareizo servisu

Konts, ko izmanto pakalpojumu sniedzēja vietnē, ne vienmēr ir tas konts, kuru pieņem tā VPN vārteja. Saglabāts profils var arī norādīt uz vecu vārteju vēl ilgi pēc tam, kad serviss ir pārvietots.

Salīdziniet profilā norādīto galapunktu ar operatora publicēto un pārbaudiet, kuru identitātes sistēmu vārteja konsultē. Paroles atiestatīšana tīmekļa portālā neko nemaina, ja tunelis autentificējas pret atsevišķu direktoriju. Nesaistīta publiska servera akreditācijas dati jūsu serverī nedarbosies, un darba paroles pārbaude profilā, kas saņemts ar neuzticamu ziņojumu, jebkurā gadījumā ir slikts darījums. Apstipriniet izcelsmi, pirms kaut ko ierakstāt.

Divas minūtes pie profila novērš dienu, kas pavadīta, minot akreditācijas datus.

Pieteikšanās formāts ir daļa no akreditācijas datiem

Lietotājvārdam var būt nepieciešama e-pasta forma, domēna prefikss vai direktorija sufikss. Vārteja salīdzina saņemto virkni, tāpēc forma ir akreditācijas datu daļa, nevis rotājums.

Pēc tam pirms eskalācijas izslēdziet garlaicīgos cēloņus. Pārbaudiet tastatūras izkārtojumu, jebkuru kopēšanas radītu beigu atstarpi un vecu ierakstu paroļu pārvaldniekā. Pēc atiestatīšanas apstipriniet, ka VPN izmanto to pašu identitātes avotu kā lapa, kurā parole tika nomainīta. Ja šīs detaļas ir pareizas, pārtrauciet minēt un pajautājiet operatoram, vai konts ir iespējots un vai tam ir atļauta VPN piekļuve. Tas ir servisa puses labojums, nevis klienta iestatījums.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Žurnāla rindā ar AUTH_FAILED parasti ir iemesla kods vai izaicinājuma virkne. Kopējiet to precīzi, nevis pārstāstiet, kad lūdzat palīdzību.

Otrajiem faktoriem ir savs līgums

Profils var gaidīt vienreizēju kodu, interaktīvu izaicinājumu vai pārlūka pieteikšanos, kas klientam atgriež žetonu. Izmantojiet operatora atbalstīto plūsmu, nevis izgudrojiet savu.

Nepievienojiet kodu parolei, ja vien šis formāts nav skaidri pieprasīts, jo daži izvietojumi izmanto atsevišķu lauku, bet citi izaicinājuma virkni. Laika kodiem pārbaudiet ierīces pulksteni, jo dažu minūšu novirze padara katru kodu nederīgu. Ja pārlūka pieteikšanās izdodas un klients nekad neturpinās, pierakstiet tieši šo punktu, jo tas norāda nodošanu, nevis akreditācijas datus. Vēl viena paroles atiestatīšana, visticamāk, nepalīdzēs.

Sesiju limits ir otrs izplatītais noraidījums. Ja konts atļauj vienu sesiju, otra pieteikšanās var izbeigt pirmo, un simptoms izskatās kā plandošs savienojums, nevis politika.

Sertifikāts nav parole

Klienta sertifikāts var beigties vai tikt atsaukts, kamēr konta parole paliek pilnīgi pareiza. Privātās atslēgas paroles frāze atkal ir trešais noslēpums, un tā aizsargā failu, nevis kontu.

Izlasiet kļūdu pirms kaut kā aizstāšanas, pēc tam iegūstiet pareizo aizstājēju no pārbaudīta operatora. To darot, atstājiet ieslēgtu servera identitātes pārbaudi: nesaistīta sertifikāta pieņemšana vai kāda cita privātās atslēgas kopēšana nav remonts, tas ir otrs incidents. Pēc tam pārbaudiet resursu, kas jums patiešām vajadzīgs, jo pievienots tunelis ar nesasniedzamu servisu pieder citai izmeklēšanai. Pierakstiet, kurš posms neizdevās, lai nākamā persona nesāktu visu procesu no jauna.

Ja sesija izveidojas un vēlāk neizdodas, reģistrējiet intervālu un tuvākos atjaunināšanas notikumus. Šis ieraksts atdala žetona darbības laika problēmu no pirmās pieteikšanās kļūmes, un tā ir atšķirība starp piecu minūšu labojumu un nedēļu atkārtotu mēģinājumu.