L-awtentikazzjoni tal-VPN falliet: rari l-port jew id-DNS tkun il-kawża

Li l-awtentikazzjoni falliet ifisser li s-servizz irċieva identità u rrifjutaha, dikjarazzjoni itqar milli jaħsbu ħafna nies. Il-port huwa miftuħ, is-sessjoni TLS forsi tlestiet, u xi ħaġa fil-kredenzjali jew fil-kont ġiet miċħuda. It-test tal-iżball diġà jsemmi l-istadju, għalhekk ibda minn hemm.

L-iżball diġà qallek liema stadju falla

Konnessjoni li qatt ma ttemm il-handshake TLS tagħha lanqas biss waslet għall-awtentikazzjoni. Konnessjoni li ttemm il-handshake u mbagħad tirrapporta ċaħda tal-kredenzjali waslet għaliha u falliet hemm. Dawn iż-żewġ riżultati jeħtieġu investigazzjonijiet differenti, u spiss jiġu konfużi għax it-tnejn jispiċċaw b’tieqa magħluqa.

OpenVPN tagħmel id-distinzjoni ċara b’messaġġ AUTH_FAILED mis-server, li huwa deċiżjoni u mhux żball tat-trasport. Timeout tan-negozjati TLS jew żball fil-verifika taċ-ċertifikat jappartjenu għall-istadju preċedenti. Aqra liema għandek qabel ma tmiss il-kredenzjali, għax reset tal-password ma jistax isewwi handshake u bidla fil-firewall ma tistax isewwi dħul miċħud. Linja waħda mil-log tal-klijent twieġeb il-mistoqsija.

L-istess loġika tapplika għal sessjoni li tgħaqqad u mbagħad taqa’ aktar tard. Falliment fl-awtentikazzjoni mill-ġdid fil-mument tal-erbgħin minuta huwa difett differenti minn ċaħda fl-ewwel dħul, u l-intervall huwa l-indizju.

Ikkonferma li l-profil jindika s-servizz it-tajjeb

Il-kont użat fuq is-sit web ta’ fornitur mhux dejjem ikun il-kont li l-gateway VPN tiegħu jaċċetta. Profil salvat jista’ wkoll jindika gateway antik ħafna wara li s-servizz ikun tmexxa.

Qabbel il-punt tat-tmiem fil-profil ma’ dak ippubblikat mill-operatur, u ċċekkja liema sistema tal-identità l-gateway jikkonsulta. Reset tal-password fuq portal web ma jbiddel xejn jekk it-tunnel jawtentika ma’ direttorju separat. Kredenzjali għal server pubbliku mhux relatat ma jaħdmux fuq tiegħek, u li tittestja password tax-xogħol fi profil li wasal permezz ta’ messaġġ mhux affidabbli huwa skambju ħażin fi kwalunkwe każ. Ikkonferma l-oriġini qabel ma tittajpja xi ħaġa.

Żewġ minuti fuq il-profil jipprevjenu ġurnata ta’ tbassir tal-kredenzjali.

Il-format tad-dħul huwa parti mill-kredenzjali

L-isem tal-utent jista’ jeħtieġ forma ta’ email, prefiss ta’ dominju jew suffiss ta’ direttorju. Il-gateway iqabbel is-string li rċieva, għalhekk il-forma hija parti mill-kredenzjali u mhux ornament.

Imbagħad neħħi l-kawżi tedjanti qabel ma tesklala. Iċċekkja t-tqassim tal-keyboard, kwalunkwe spazju finali introdott minn kopja, u entrata antika fil-maniġer tal-passwords. Wara reset, ikkonferma li l-VPN juża l-istess sors tal-identità bħall-paġna fejn inbidlet il-password. Jekk dawk id-dettalji huma korretti, waqqaf it-tbassir u staqsi lill-operatur jekk il-kont huwiex attivat u awtorizzat għall-aċċess tal-VPN. Din hija korrezzjoni min-naħa tas-servizz, mhux settagg tal-klijent.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Il-linja tal-log li ġġorr AUTH_FAILED normalment tinkludi kodiċi tar-raġuni jew string ta’ sfida. Ikkupjaha eżattament minflok ma terġa’ tifformulaha meta titlob l-għajnuna.

It-tieni fatturi għandhom il-kuntratt tagħhom

Il-profil jista’ jistenna kodiċi ta’ darba, sfida interattiva jew dħul mill-browser li jirritorna token lill-klijent. Uża l-fluss li jappoġġja l-operatur minflok ma toħloq wieħed.

Twaħħalx kodiċi mal-password sakemm dak il-format ma jintalabx b’mod espliċitu, għax xi installazzjonijiet jużaw qasam separat u oħrajn string ta’ sfida. Għall-kodiċijiet ibbażati fuq il-ħin, iċċekkja l-arloġġ tal-apparat, għax ftit minuti ta’ differenza jinvalidaw kull kodiċi. Jekk id-dħul mill-browser jirnexxi u l-klijent qatt ma jissokta, innota eżattament dak il-punt, għax jidentifika l-kunsinna u mhux il-kredenzjali. Reset ieħor tal-password x’aktarx ma jgħinx.

Il-limitu tas-sessjonijiet huwa ċ-ċaħda komuni l-oħra. Jekk il-kont jippermetti sessjoni waħda, it-tieni dħul jista’ jtemm l-ewwel wieħed, u s-sintomu jidher bħal konnessjoni li tteptep u mhux bħala politika.

Ċertifikat mhuwiex password

Ċertifikat tal-klijent jista’ jiskadi jew jiġi revokat waqt li l-password tal-kont tibqa’ perfettament korretta. Il-password tal-muftieħ privat hija għal darb’oħra t-tielet sigriet, u tipproteġi fajl u mhux kont.

Aqra l-iżball qabel ma tissostitwixxi xi ħaġa, imbagħad ġib is-sostitut korrett mingħand l-operatur ivverifikat. Żomm il-verifika tal-identità tas-server mixgħula waqt li tagħmel dan: li taċċetta ċertifikat mhux relatat jew li tikkupja l-muftieħ privat ta’ ħaddieħor mhix tiswija, hija t-tieni inċident. Imbagħad ittestja r-riżors li tassew għandek bżonn, għax tunnel konness ma’ servizz mhux aċċessibbli jappartjeni għal investigazzjoni oħra. Ikteb liema stadju falla biex il-persuna li jmiss ma tibdiex il-proċess kollu mill-ġdid.

Jekk is-sessjoni tiġi stabbilita u wara tfalli, irreġistra l-intervall u kwalunkwe avveniment ta’ tiġdid fil-qrib. Dik ir-reġistrazzjoni tissepara problema tal-ħajja tat-token minn falliment fl-ewwel dħul, u hija d-differenza bejn tiswija ta’ ħames minuti u ġimgħa ta’ tentattivi mill-ġdid.