Pengesahan VPN gagal: jarang sekali port atau DNS menjadi punca

Pengesahan gagal bermaksud perkhidmatan menerima identiti dan menolaknya, satu kenyataan yang lebih sempit daripada yang dibayangkan kebanyakan orang. Port terbuka, sesi TLS mungkin telah selesai, dan sesuatu dalam kelayakan atau akaun telah ditolak. Teks ralat sudah menamakan peringkatnya, jadi mulakan dari situ.

Ralat sudah memberitahu anda peringkat mana yang gagal

Sambungan yang tidak pernah menyelesaikan jabat tangan TLS langsung tidak sampai ke pengesahan. Sambungan yang menyelesaikan jabat tangan dan kemudian melaporkan penolakan kelayakan telah sampai ke sana dan gagal di situ. Kedua-dua hasil ini memerlukan siasatan berbeza, dan sering dikelirukan kerana kedua-duanya berakhir dengan tetingkap tertutup.

OpenVPN menjadikan perbezaan itu jelas dengan mesej AUTH_FAILED daripada pelayan, yang merupakan keputusan dan bukan ralat pengangkutan. Tamat masa rundingan TLS atau ralat pengesahan sijil tergolong dalam peringkat sebelumnya. Baca yang mana anda ada sebelum menyentuh kelayakan, kerana set semula kata laluan tidak dapat membaiki jabat tangan dan perubahan firewall tidak dapat membaiki log masuk yang ditolak. Satu baris log klien menjawab soalan itu.

Logik yang sama terpakai pada sesi yang bersambung dan kemudian terputus. Kegagalan pengesahan semula pada minit keempat puluh ialah kecacatan berbeza daripada penolakan pada log masuk pertama, dan selang itu ialah petunjuknya.

Pastikan profil menghala ke perkhidmatan yang betul

Akaun yang digunakan di laman web pembekal tidak semestinya akaun yang diterima oleh pintu masuk VPNnya. Profil yang disimpan juga boleh menghala ke pintu masuk lama lama selepas perkhidmatan itu berpindah.

Bandingkan titik akhir dalam profil dengan yang diterbitkan oleh pengendali, dan semak sistem identiti mana yang dirujuk oleh pintu masuk. Set semula kata laluan di portal web tidak mengubah apa-apa jika terowong mengesahkan terhadap direktori berasingan. Kelayakan untuk pelayan awam yang tidak berkaitan tidak akan berfungsi pada pelayan anda, dan menguji kata laluan kerja dalam profil yang diterima melalui mesej tidak dipercayai ialah pertukaran buruk dalam apa jua keadaan. Sahkan asal usul sebelum menaip apa-apa.

Dua minit pada profil menghalang sehari meneka kelayakan.

Format log masuk ialah sebahagian daripada kelayakan

Nama pengguna mungkin memerlukan bentuk e-mel, awalan domain atau akhiran direktori. Pintu masuk membandingkan rentetan yang diterimanya, jadi bentuk itu ialah sebahagian daripada kelayakan dan bukan hiasan.

Kemudian ketepikan punca yang membosankan sebelum meningkatkan. Semak susun atur papan kekunci, sebarang ruang hujung yang dimasukkan oleh salinan, dan entri lama dalam pengurus kata laluan. Selepas set semula, pastikan VPN menggunakan sumber identiti yang sama dengan halaman tempat kata laluan diubah. Jika butiran itu betul, berhenti meneka dan tanya pengendali sama ada akaun itu didayakan dan dibenarkan untuk akses VPN. Itu pembetulan di pihak perkhidmatan, bukan tetapan klien.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Baris log yang membawa AUTH_FAILED biasanya mengandungi kod sebab atau rentetan cabaran. Salin dengan tepat dan jangan mengolahnya semula apabila meminta bantuan.

Faktor kedua mempunyai kontraknya sendiri

Profil mungkin menjangka kod sekali guna, cabaran interaktif atau log masuk pelayar yang memulangkan token kepada klien. Gunakan aliran yang disokong pengendali dan bukannya mencipta sendiri.

Jangan lampirkan kod pada kata laluan melainkan format itu diminta secara jelas, kerana sesetengah penggunaan menggunakan medan berasingan dan ada yang menggunakan rentetan cabaran. Untuk kod berasaskan masa, semak jam peranti, kerana beberapa minit sisihan membatalkan setiap kod. Jika log masuk pelayar berjaya dan klien tidak pernah menyambung semula, catat titik itu dengan tepat, kerana ia menandakan penyerahan dan bukan kelayakan. Set semula kata laluan lagi mungkin tidak membantu.

Had sesi ialah penolakan biasa yang lain. Jika akaun membenarkan satu sesi, log masuk kedua boleh menamatkan yang pertama, dan gejalanya kelihatan seperti sambungan berkelip dan bukan dasar.

Sijil bukan kata laluan

Sijil klien boleh tamat tempoh atau dibatalkan sementara kata laluan akaun kekal betul sepenuhnya. Frasa laluan kunci peribadi ialah rahsia ketiga sekali lagi, dan ia melindungi fail dan bukan akaun.

Baca ralat sebelum menggantikan apa-apa, kemudian dapatkan pengganti yang betul daripada pengendali yang disahkan. Biarkan pengesahan identiti pelayan dihidupkan semasa anda melakukannya: menerima sijil tidak berkaitan atau menyalin kunci peribadi orang lain bukan pembaikan, ia insiden kedua. Kemudian uji sumber yang benar-benar anda perlukan, kerana terowong bersambung dengan perkhidmatan yang tidak dapat dicapai tergolong dalam siasatan lain. Catat peringkat mana yang gagal supaya orang seterusnya tidak memulakan semula seluruh proses.

Jika sesi terbentuk dan gagal kemudian, rekod selang dan sebarang peristiwa pembaharuan berdekatan. Rekod itu memisahkan masalah jangka hayat token daripada kegagalan log masuk pertama, dan itulah perbezaan antara pembaikan lima minit dan seminggu cubaan semula.