Неуспешна автентикација на VPN: ретко е причината портата или DNS

Неуспешна автентикација значи дека услугата примила идентитет и го одбила, што е потесна изјава отколку што повеќето луѓе вчитуваат во неа. Портата е отворена, TLS сесијата можеби целосно се воспоставила, а нешто во акредитивите или сметката е одбиено. Текстот на грешката веќе ја именува фазата, затоа започнете од таму.

Грешката веќе ви кажа која фаза не успеа

Врската што никогаш не го завршува TLS ракувањето воопшто не стигнала до автентикација. Врската што го завршува ракувањето, а потоа пријавува одбивање на акредитиви, стигнала до неа и таму не успеала. Овие два исхода бараат различно истражување и често се мешаат, бидејќи двата завршуваат со затворен прозорец.

OpenVPN ја прави разликата јасна со порака AUTH_FAILED од серверот, која е одлука, а не транспортна грешка. Истекот на TLS преговорите или грешка при проверка на сертификат ѝ припаѓа на претходната фаза. Прочитајте која ја имате пред да ги допрете акредитивите, зашто ресетирањето лозинка не може да поправи ракување, а промената на огнениот ѕид не може да поправи одбиено најавување. Еден ред од дневникот на клиентот одговара на прашањето.

Истата логика важи за сесија што се поврзува и потоа паѓа. Неуспехот при повторна автентикација во четириесеттата минута е различен дефект од одбивањето при првото најавување, а интервалот е трагата.

Потврдете дека профилот покажува на вистинската услуга

Сметката што се користи на веб-страницата на давателот не е секогаш сметката што ја прифаќа неговата VPN порта. Зачуваниот профил исто така може да покажува на стара порта долго откако услугата се преселила.

Споредете ја крајната точка во профилот со онаа што ја објавил операторот и проверете кој систем за идентитет го консултира портата. Ресетирањето лозинка на веб-порталот не менува ништо ако тунелот се автентикува против посебен директориум. Акредитивите за неповрзан јавен сервер нема да работат на вашиот, а тестирањето работна лозинка во профил добиен преку недоверлива порака е лоша размена во секој случај. Потврдете го потеклото пред да напишете нешто.

Две минути на профилот спречуваат еден ден погодување на акредитиви.

Форматот на најавување е дел од акредитивите

Корисничкото име може да бара форма на е-пошта, префикс на домен или суфикс на директориум. Портата го споредува примениот низа, затоа формата е дел од акредитивите, а не украс.

Потоа пред ескалацијата исклучете ги досадните причини. Проверете го распоредот на тастатурата, секој заден простор внесен со копирање и стариот запис во менаџерот за лозинки. По ресетирање потврдете дека VPN користи истиот извор на идентитет како страницата каде што е сменета лозинката. Ако тие детали се точни, престанете да погодувате и прашајте го операторот дали сметката е овозможена и овластена за VPN пристап. Тоа е поправка на страната на услугата, а не поставка на клиентот.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Редот од дневникот што носи AUTH_FAILED обично вклучува код на причина или низа предизвик. Копирајте го точно наместо да го прераскажувате кога барате помош.

Вторите фактори имаат свој договор

Профилот може да очекува еднократен код, интерактивен предизвик или најавување преку прелистувач што му враќа токен на клиентот. Користете го текот што го поддржува операторот наместо да измислувате свој.

Не додавајте код на лозинката освен ако тој формат не е експлицитно потребен, зашто некои поставувања користат посебно поле, а некои низа предизвик. За кодовите засновани на време проверете го часовникот на уредот, бидејќи неколку минути отстапување го прават секој код неважечки. Ако најавувањето преку прелистувач успее, а клиентот никогаш не продолжи, забележете ја токму таа точка, бидејќи го означува предавањето, а не акредитивот. Уште едно ресетирање на лозинката веројатно нема да помогне.

Ограничувањето на сесии е другото често одбивање. Ако сметката дозволува една сесија, второто најавување може да ја прекине првата, а симптомот изгледа како врска што трепка, а не како политика.

Сертификатот не е лозинка

Клиентскиот сертификат може да истече или да биде отповикан додека лозинката на сметката останува сосема точна. Лозинката на приватниот клуч е повторно трета тајна и штити датотека, а не сметка.

Прочитајте ја грешката пред да замените нешто, потоа набавете ја точната замена од потврдениот оператор. Оставете ја проверката на идентитетот на серверот вклучена додека го правите тоа: прифаќањето неврзана сертификат или копирањето туѓ приватен клуч не е поправка, туку втор инцидент. Потоа тестирајте го ресурсот што навистина ви треба, бидејќи поврзан тунел со недостапна услуга ѝ припаѓа на друго истражување. Запишете која фаза не успеала за следната личност да не го почнува целиот процес одново.

Ако сесијата се воспостави и подоцна не успее, забележете го интервалот и сите блиски настани за обновување. Тој запис го одделува проблемот со животниот век на токенот од неуспехот при првото најавување и е разликата меѓу петминутна поправка и една недела обиди.