Еден уред сѐ уште не се поврзува по ресетирањето на лозинката за VPN
Новата лозинка работи насекаде освен на еден клиент. Најдете го складиштето што сѐ уште ја чува старата вредност, ограничете ги обидите и потврдете со еден обид.
Ја ресетиравте лозинката, ја тестиравте на порталот, а еден преносен сметач сѐ уште не може да се поврзе. Првиот инстинкт е повторно ресетирање, и токму така сметката се заклучува, а застарената тајна станува инцидент. VPN клиентот ретко бара лозинка секој пат; бара еднаш и го чува одговорот некаде што вие не сте го избрале. Наоѓањето на тоа место е целата работа, и тоа е побрзо од уште едно ресетирање.
Потврдете што навистина праќа секој клиент
Проверете ја сметката, доменот и портата на клиентот што не успева пред да претпоставите дека лозинката е проблемот. Најавувањето на веб-порталот може да користи различен систем за идентитет од самиот VPN, па успешната најава на порталот не кажува ништо за автентикацијата на протоколот. Некои распоредувања прифаќаат е-пошта на порталот и друго корисничко име во тунелот. Потврдете кој идентитет клиентот е конфигуриран да го претстави пред да ресетирате нешто.
Прочитајте го текстот на грешката и класифицирајте ја. Неуспех на сертификат, истечен предизвик или неподдржан шифар не се застарена лозинка, и третирањето како таква создава циклус на ресетирања без ефект. Ако услугата има политика за заклучување, застанете по два или три неуспешни обиди и потврдете ја состојбата на сметката пред да продолжите.
Наведете ги складиштата наместо да погодувате
Четири складишта чуваат VPN тајна, а табелата подолу за секое покажува каде вредноста опстојува и што навистина значи нејзиното бришење. Оригиналниот OS профил ја чува тајната во складиштето за акредитиви на платформата, затоа записот може да ја надживее апликацијата што го напишала. Конфигурациската датотека на клиентот ја чува вредноста таму каде што клиентот ја чита, или вградена или во наведена датотека за автентикација, па уредувањето на друга датотека не менува ништо. Колачето на порталот и акредитивот доставен преку политика живеат некаде што уредот навистина не го поседува, и тоа одредува кој смее да ги менува.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Проверете ги по фиксен редослед: прво складиштето за акредитиви на OS, бидејќи клиентот стандардно го консултира, потоа сопствениот сеф или конфигурациска датотека на клиентот, потоа сесијата на прелистувачот и на крајот политиката што може да ги презапише сите три. Редоследот е важен бидејќи подоцнежно складиште може тивко да врати претходно, а вие ќе го поправите погрешниот слој додека дефектот трае. Запишете кое складиште сте го смениле, бидејќи токму таа белешка го прави следното ресетирање работа од две минути наместо цело попладне.
Погледнете во складиштето што клиентот навистина го користи
Прочитајте пред да избришете, за да знаете кој запис припаѓал на VPN. Командите подолу наведуваат и прегледуваат наместо да отстрануваат, што ја одржува дијагнозата повратна.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordНа Linux, -s прикажува тајни што NetworkManager инаку ги крие. На macOS, командата Keychain го печати зачуваниот елемент, затоа третирајте го скролувањето на терминалот како чувствително. Ако клиентот што не успева е апликација од трета страна со сопствен сеф, складиштето на OS ќе изгледа точно додека апликацијата ја чува сопствената копија, и промената треба да се направи токму во тој сеф.
Справете се со уредите што се офлајн
Преносни сметачи што сами се будат и повторно се поврзуваат ќе продолжат да ја презентираат старата тајна додека постои нивната копија. Планирајте го ажурирањето така што тие уреди ќе бидат поправени пред тие да се обидат повторно одеднаш, и разгледајте можност да го исклучите автоматското поврзување на погодениот профил додека секој не помине низ поддржаниот тек.
За управуван парк, сменете ја вредноста таму каде што е дефинирана политиката. Уредувањето локална копија на уред чии акредитиви се обезбедуваат централно е во најдобар случај привремено; следното освежување на политиката ја враќа старата вредност и дефектот се враќа без објаснување.
Потврдете со еден контролиран обид
Ажурирајте го предвидениот запис, поврзете се еднаш повторно и потврдете дека тунелот стигнува до нешто конкретно. Еден контролиран обид дава употреблива грешка ако не успее, додека дваесет даваат заклучена сметка и загатка. Ако клиентот сѐ уште не успева откако складиштето е поправено, фатете една грешка без тајни и застанете. Чувајте ја таа грешка со името на уредот за следната смена да почне таму каде што завршивте.
Промената на лозинка не допира сертификати, сесиски токени или регистрација за MFA, и тоа се одделни идентитети со сопствен животен циклус. Обновен сертификат не се поправа со ротирање лозинка, а токен издаден пред ресетирањето може сѐ уште да важи. Завршете со запишување кое складиште ја чувало застарената вредност, бидејќи следното ресетирање ќе налета на истиот список.