VPN-autentisering mislyktes: det er sjelden porten eller DNS

At autentiseringen mislyktes betyr at tjenesten mottok en identitet og avviste den, noe som er en snevrere påstand enn de fleste leser inn i det. Porten er åpen, TLS-økten er muligens fullført, og noe i påloggingsinformasjonen eller kontoen ble avvist. Feilteksten navngir allerede trinnet, så start der.

Feilen har allerede fortalt deg hvilket trinn som mislyktes

En tilkobling som aldri fullfører TLS-håndtrykket har ikke nådd autentiseringen i det hele tatt. En tilkobling som fullfører håndtrykket og deretter rapporterer en avvisning av påloggingsinformasjon, har nådd den og mislyktes der. Disse to utfallene krever ulike undersøkelser, og de forveksles ofte fordi begge ender med et lukket vindu.

OpenVPN gjør forskjellen tydelig med en AUTH_FAILED-melding fra serveren, som er en beslutning og ikke en transportfeil. En tidsavbrudd i TLS-forhandlingene eller en sertifikatverifiseringsfeil hører til det tidligere trinnet. Les hvilken du har før du rører påloggingsinformasjonen, for en tilbakestilling av passordet kan ikke reparere et håndtrykk, og en brannmur-endring kan ikke reparere en avvist pålogging. Én linje i klientloggen svarer på spørsmålet.

Den samme logikken gjelder for en økt som kobler til og deretter faller. En feil ved reautentisering på minutt førti er en annen feil enn en avvisning ved første pålogging, og intervallet er ledetråden.

Bekreft at profilen peker på riktig tjeneste

Kontoen som brukes på en leverandørs nettsted, er ikke alltid kontoen som VPN-gatewayen godtar. En lagret profil kan også peke på en gammel gateway lenge etter at tjenesten er flyttet.

Sammenlign endepunktet i profilen med det operatøren har publisert, og sjekk hvilket identitetssystem gatewayen konsulterer. En tilbakestilling av passordet i en nettportal endrer ingenting hvis tunnelen autentiserer mot en egen katalog. Påloggingsinformasjon for en urelatert offentlig server vil ikke fungere på din, og å teste et jobbpassord i en profil som er mottatt via en ubetrodd melding er en dårlig handel uansett. Bekreft opprinnelsen før du skriver noe.

To minutter på profilen forhindrer en dag med gjetting på påloggingsinformasjon.

Påloggingsformatet er en del av påloggingsinformasjonen

Et brukernavn kan kreve e-postform, et domeneprefiks eller et katalogsuffiks. Gatewayen sammenligner strengen den mottok, så formen er en del av påloggingsinformasjonen og ikke pynt.

Utelukk deretter de kjedelige årsakene før du eskalerer. Sjekk tastaturoppsettet, eventuelle etterfølgende mellomrom fra en kopi, og en gammel oppføring i passordbehandleren. Etter en tilbakestilling bekrefter du at VPN bruker samme identitetskilde som siden der passordet ble endret. Hvis disse detaljene er riktige, slutt å gjette og spør operatøren om kontoen er aktivert og autorisert for VPN-tilgang. Det er en korrigering på tjenestesiden, ikke en klientinnstilling.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Logglinjen som bærer AUTH_FAILED inneholder vanligvis en årsakskode eller en utfordringsstreng. Kopier den nøyaktig i stedet for å gjengi den når du ber om hjelp.

Andre faktorer har sin egen kontrakt

Profilen kan forvente en engangskode, en interaktiv utfordring eller en nettleserpålogging som gir klienten et token tilbake. Bruk flyten operatøren støtter i stedet for å finne opp en.

Ikke legg til en kode i passordet med mindre det formatet er eksplisitt påkrevd, fordi noen utrullinger bruker et eget felt og andre en utfordringsstreng. For tidsbaserte koder, sjekk enhetens klokke, siden noen minutters avvik gjør hver kode ugyldig. Hvis nettleserpåloggingen lykkes og klienten aldri gjenopptas, noter nøyaktig det punktet, fordi det identifiserer overleveringen og ikke påloggingsinformasjonen. Nok en tilbakestilling av passordet hjelper neppe.

En øktgrense er den andre vanlige avvisningen. Hvis kontoen tillater én økt, kan en annen pålogging avslutte den første, og symptomet ser ut som en flagrende tilkobling snarere enn en policy.

Et sertifikat er ikke et passord

Et klientsertifikat kan utløpe eller tilbakekalles mens kontopassordet forblir helt korrekt. En passfrase for en privat nøkkel er igjen en tredje hemmelighet, og den beskytter en fil og ikke en konto.

Les feilen før du erstatter noe, og skaff deretter den riktige erstatningen fra den verifiserte operatøren. Hold serveridentitetsverifiseringen på mens du gjør det: å godta et urelatert sertifikat eller kopiere noen andres private nøkkel er ikke en reparasjon, det er en ny hendelse. Test deretter ressursen du faktisk trenger, fordi en tilkoblet tunnel med en utilgjengelig tjeneste hører til en annen undersøkelse. Skriv ned hvilket trinn som mislyktes, slik at neste person ikke starter hele prosessen på nytt.

Hvis økten etableres og mislyktes senere, registrer intervallet og eventuelle nærliggende fornyelseshendelser. Den registreringen skiller et problem med tokenets levetid fra en feil ved første pålogging, og det er forskjellen mellom en fem minutters rettelse og en uke med nye forsøk.