Eén apparaat weigert nog na het resetten van het VPN-wachtwoord

Je hebt het wachtwoord gereset, het in het portaal getest, en één laptop kan nog steeds geen verbinding maken. De reflex is om het nog eens te resetten, en zo raakt een account vergrendeld en wordt een verouderd geheim een incident. Een VPN-client vraagt zelden elke keer een wachtwoord; hij vraagt het één keer en slaat het antwoord ergens op waar jij niet om hebt gevraagd. Die plek vinden is het hele werk, en het is sneller dan nog een reset.

Controleer wat elke client werkelijk verstuurt

Controleer het account, het domein en de gateway op de falende client voordat je aanneemt dat het wachtwoord het probleem is. Een portaal-login kan een ander identiteitssysteem gebruiken dan de VPN zelf, dus een geslaagde portaal-aanmelding zegt niets over de authenticatie van het protocol. Sommige omgevingen accepteren een e-mailadres bij het portaal en een andere gebruikersnaam bij de tunnel. Bevestig welke identiteit de client is ingesteld om te presenteren voordat je iets reset.

Lees de fouttekst en classificeer die. Een certificaatfout, een verlopen challenge of een niet-ondersteunde cipher is geen verouderd wachtwoord, en het als zodanig behandelen levert een resetlus op zonder effect. Als de dienst een lockout-beleid heeft, stop dan na twee of drie mislukte pogingen en bevestig de accountstatus voordat je verdergaat.

Inventariseer de opslagplaatsen in plaats van te gissen

Vier opslagplaatsen bevatten een VPN-geheim, en de tabel hieronder koppelt elk daarvan aan waar de waarde overleeft en wat het wissen ervan werkelijk betekent. Een native OS-profiel bewaart het geheim in de credential store van het platform, waardoor de vermelding langer kan leven dan de toepassing die haar schreef. Een clientconfiguratiebestand bewaart de waarde waar die client haar leest, hetzij inline, hetzij in een auth-bestand waarnaar wordt verwezen, dus een ander bestand bewerken verandert niets. Een portaalcookie in de browser en een door beleid geleverd credential leven ergens dat het apparaat niet echt bezit, wat bepaalt wie ze mag wijzigen.

Controleer ze in een vaste volgorde: eerst de OS-credentialstore, omdat de client die standaard raadpleegt, dan de eigen kluis of het configuratiebestand van de client, dan de browsersessie, en ten slotte het beleid dat alle drie kan overschrijven. De volgorde is belangrijk omdat een latere opslagplaats een eerdere stil kan herstellen, en je dan de verkeerde laag hebt gerepareerd terwijl de fout blijft. Schrijf op welke opslagplaats je hebt gewijzigd, want die notitie maakt de volgende reset een klusje van twee minuten in plaats van een middag.

Kijk in de opslagplaats die de client echt gebruikt

Lees voordat je verwijdert, zodat je weet welke vermelding bij de VPN hoorde. De onderstaande commando’s tonen en inspecteren in plaats van te verwijderen, wat de diagnose omkeerbaar houdt.

# Windows credential store
cmdkey /list | findstr /i vpn

# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid

# macOS Keychain
security find-generic-password -s "Company VPN" -g

# Linux NetworkManager
nmcli -s connection show "Work" | grep -i password

Op Linux toont -s geheimen die NetworkManager anders verbergt. Op macOS drukt het Keychain-commando het opgeslagen item af, dus behandel de terminal-scrollback als gevoelig. Als de falende client een app van derden met een eigen kluis is, ziet de OS-opslag er correct uit terwijl de app haar eigen kopie houdt, en die kluis is waar de wijziging thuishoort.

Behandel de apparaten die offline zijn

Laptops die wakker worden en onbeheerd opnieuw verbinden blijven het oude geheim presenteren zolang hun kopie bestaat. Plan de update zo dat die apparaten zijn gecorrigeerd voordat ze in een burst opnieuw proberen, en overweeg auto-connect op het getroffen profiel uit te schakelen tot elk apparaat de ondersteunde flow heeft doorlopen.

Voor een beheerde vloot wijzig je de waarde waar het beleid is gedefinieerd. Een lokale kopie bewerken op een apparaat waarvan de referentie centraal wordt ingericht, is op zijn best tijdelijk; de volgende beleidsverversing herstelt de oude waarde en de fout komt terug zonder uitleg.

Verifieer met één gecontroleerde poging

Werk de bedoelde vermelding bij, verbind één keer opnieuw en bevestig dat de tunnel iets specifieks bereikt. Eén gecontroleerde poging levert een bruikbare fout op als zij mislukt, terwijl twintig een vergrendeld account en een raadsel opleveren. Als een client na het corrigeren van de opslagplaats nog steeds faalt, leg dan één niet-geheime fout vast en stop. Bewaar die fout bij de apparaatnaam, zodat de volgende dienst begint waar jij geëindigd bent.

Een wachtwoordwijziging raakt certificaten, sessietokens of MFA-inschrijving niet, en dat zijn afzonderlijke identiteiten met hun eigen levenscyclus. Een vernieuwd certificaat is niet gerepareerd door een wachtwoord te roteren, en een token dat vóór de reset is uitgegeven, kan nog geldig zijn. Sluit af door op te schrijven welke opslagplaats de verouderde waarde bevatte, want de volgende reset stuit op dezelfde lijst.