VPN-authenticatie mislukt: het is zelden de poort of de DNS

Dat authenticatie mislukte betekent dat de dienst een identiteit ontving en weigerde, een smallere bewering dan de meeste mensen erin lezen. De poort is open, de TLS-sessie is mogelijk voltooid, en iets in de inloggegevens of het account werd geweigerd. De fouttekst noemt al de fase, dus begin daar.

De fout heeft u al verteld welke fase mislukte

Een verbinding die de TLS-handdruk nooit voltooit, heeft de authenticatie helemaal niet bereikt. Een verbinding die de handdruk voltooit en daarna een weigering van inloggegevens meldt, heeft die bereikt en is daar mislukt. Deze twee uitkomsten vragen verschillend onderzoek, en ze worden vaak verward omdat beide eindigen met een gesloten venster.

OpenVPN maakt het onderscheid duidelijk met een AUTH_FAILED-bericht van de server, dat een beslissing is en geen transportfout. Een time-out van de TLS-onderhandeling of een certificaatverificatiefout hoort bij de eerdere fase. Lees welke u hebt voordat u de inloggegevens aanraakt, want een wachtwoordreset kan geen handdruk repareren en een firewallwijziging kan geen geweigerde aanmelding repareren. Eén regel uit het clientlog beantwoordt de vraag.

Dezelfde logica geldt voor een sessie die verbindt en later wegvalt. Een fout bij herauthenticatie op minuut veertig is een ander defect dan een weigering bij de eerste aanmelding, en het interval is de aanwijzing.

Bevestig dat het profiel naar de juiste dienst wijst

Het account dat op de website van een provider wordt gebruikt, is niet altijd het account dat zijn VPN-gateway accepteert. Een opgeslagen profiel kan ook naar een oude gateway wijzen lang nadat de dienst is verhuisd.

Vergelijk het eindpunt in het profiel met het door de operator gepubliceerde, en controleer welk identiteitssysteem de gateway raadpleegt. Een wachtwoordreset op een webportaal verandert niets als de tunnel tegen een aparte directory authenticeert. Inloggegevens voor een ongerelateerde publieke server werken niet op de uwe, en een werkwoord in een profiel testen dat via een onbetrouwbaar bericht is ontvangen, is hoe dan ook een slechte ruil. Bevestig de herkomst voordat u iets typt.

Twee minuten op het profiel voorkomen een dag gokken op inloggegevens.

Het aanmeldformaat maakt deel uit van de inloggegevens

Een gebruikersnaam kan een e-mailvorm, een domeinprefix of een directory-achtervoegsel nodig hebben. De gateway vergelijkt de tekenreeks die hij ontving, dus de vorm is deel van de inloggegevens en geen versiering.

Sluit dan de saaie oorzaken uit voordat u escaleert. Controleer de toetsenbordindeling, eventuele spaties aan het eind van een kopie, en een oude vermelding in de wachtwoordmanager. Bevestig na een reset dat de VPN dezelfde identiteitsbron gebruikt als de pagina waar het wachtwoord is gewijzigd. Als die details kloppen, stop met gokken en vraag de operator of het account is ingeschakeld en gemachtigd voor VPN-toegang. Dat is een correctie aan de dienstkant, geen clientinstelling.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

De logregel met AUTH_FAILED bevat meestal een redencode of een challenge-tekenreeks. Kopieer die exact in plaats van hem na te vertellen wanneer u om hulp vraagt.

Tweede factoren hebben hun eigen contract

Het profiel kan een eenmalige code, een interactieve uitdaging of een browseraanmelding verwachten die een token aan de client teruggeeft. Gebruik de stroom die de operator ondersteunt in plaats van er een te bedenken.

Voeg geen code aan het wachtwoord toe tenzij dat formaat expliciet vereist is, omdat sommige implementaties een apart veld gebruiken en andere een challenge-tekenreeks. Controleer bij tijdgebaseerde codes de klok van het apparaat, want enkele minuten afwijking maken elke code ongeldig. Als de browseraanmelding slaagt en de client nooit hervat, noteer dan precies dat punt, want het duidt de overdracht aan en niet de inloggegevens. Nog een wachtwoordreset zal waarschijnlijk niet helpen.

Een sessielimiet is de andere gangbare weigering. Als het account één sessie toestaat, kan een tweede aanmelding de eerste beëindigen, en het symptoom lijkt op een flikkerende verbinding en niet op beleid.

Een certificaat is geen wachtwoord

Een clientcertificaat kan verlopen of worden ingetrokken terwijl het accountwachtwoord volkomen correct blijft. Een wachtwoordzin voor een privésleutel is weer een derde geheim, en die beschermt een bestand en niet een account.

Lees de fout voordat u iets vervangt, en haal dan de juiste vervanging bij de geverifieerde operator. Laat de serveridentiteitsverificatie aan staan terwijl u dat doet: een ongerelateerd certificaat accepteren of iemands privésleutel kopiëren is geen reparatie, het is een tweede incident. Test daarna de bron die u echt nodig hebt, want een verbonden tunnel met een onbereikbare dienst hoort bij een ander onderzoek. Schrijf op welke fase mislukte zodat de volgende persoon het hele proces niet opnieuw begint.

Als de sessie tot stand komt en later mislukt, leg dan het interval en eventuele nabije vernieuwingsgebeurtenissen vast. Die registratie scheidt een probleem met de levensduur van het token van een fout bij de eerste aanmelding, en het is het verschil tussen een correctie van vijf minuten en een week opnieuw proberen.