VPN-autentisering mislukkast: det er sjeldan porten eller DNS

At autentiseringa mislukkast tyder at tenesta tok imot ein identitet og avviste han, noko som er eit snevrare utsegn enn dei fleste les inn i det. Porten er open, TLS-økta er mogleg fullført, og noko i påloggingsinformasjonen eller kontoen vart avvist. Feilteksten nemner alt trinnet, så start der.

Feilen har alt fortalt deg kva trinn som mislukkast

Ei tilkopling som aldri fullfører TLS-handtrykket har ikkje nådd autentiseringa i det heile. Ei tilkopling som fullfører handtrykket og deretter rapporterer ei avvising av påloggingsinformasjon, har nådd henne og mislukkast der. Desse to utfalla krev ulike granskingar, og dei vert ofte forveksla fordi begge endar med eit lukka vindauge.

OpenVPN gjer skilnaden tydeleg med ei AUTH_FAILED-melding frå tenaren, som er eit vedtak og ikkje ein transportfeil. Eit tidsavbrot i TLS-forhandlingane eller ein sertifikatverifiseringsfeil høyrer til det tidlegare trinnet. Les kva du har før du rører påloggingsinformasjonen, for ei tilbakestilling av passordet kan ikkje reparere eit handtrykk, og ei brannmur-endring kan ikkje reparere ei avvist pålogging. Éi linje i klientloggen svarar på spørsmålet.

Den same logikken gjeld for ei økt som koplar til og deretter fell. Ein feil ved reautentisering på minutt førti er ein annan feil enn ei avvising ved første pålogging, og intervallet er leiaren.

Stadfest at profilen peikar på rett teneste

Kontoen som vert brukt på nettsida til ein leverandør, er ikkje alltid kontoen som VPN-gatewayen hans godtar. Ein lagra profil kan også peike på ein gammal gateway lenge etter at tenesta er flytta.

Samanlikn endepunktet i profilen med det operatøren har publisert, og sjekk kva identitetssystem gatewayen rådspør. Ei tilbakestilling av passordet i ein nettportal endrar ingenting om tunnelen autentiserer mot ein eigen katalog. Påloggingsinformasjon for ein urelatert offentleg tenar vil ikkje fungere på din, og å teste eit jobbpassord i ein profil som er motteken via ei ubetrudd melding er ein dårleg handel uansett. Stadfest opphavet før du skriv noko.

To minutt på profilen hindrar ein dag med gjetting på påloggingsinformasjon.

Påloggingsformatet er ein del av påloggingsinformasjonen

Eit brukarnamn kan krevje e-postform, eit domeneprefiks eller eit katalogsuffiks. Gatewayen samanliknar strengen han tok imot, så forma er ein del av påloggingsinformasjonen og ikkje pynt.

Utelukk deretter dei kjedelege årsakene før du eskalerer. Sjekk tastaturoppsettet, eventuelle etterfølgjande mellomrom frå ein kopi, og ein gammal oppføring i passordhandteraren. Etter ei tilbakestilling stadfestar du at VPN brukar same identitetskjelde som sida der passordet vart endra. Om desse detaljane er riktige, slutt å gjetta og spør operatøren om kontoen er aktivert og autorisert for VPN-tilgang. Det er ei retting på tenestesida, ikkje ei klientinnstilling.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Logglinja som ber AUTH_FAILED inneheld vanlegvis ein årsakskode eller ein utfordringsstreng. Kopier henne nøyaktig i staden for å gjenfortelje når du ber om hjelp.

Andre faktorar har sin eigen kontrakt

Profilen kan vente seg ein eingongskode, ei interaktiv utfordring eller ei nettlesarpålogging som gjev klienten eit token tilbake. Bruk flyten operatøren støttar i staden for å finne opp ein.

Ikkje legg ein kode til passordet med mindre det formatet er eksplisitt påkravd, fordi nokre utrullingar brukar eit eige felt og andre ein utfordringsstreng. For tidsbaserte kodar, sjekk klokka på eininga, sidan nokre minutt avvik gjer kvar kode ugyldig. Om nettlesarpålogginga lukkast og klienten aldri held fram, noter nøyaktig det punktet, fordi det identifiserer overleveringa og ikkje påloggingsinformasjonen. Nok ei tilbakestilling av passordet hjelper neppe.

Ei øktgrense er den andre vanlege avvisinga. Om kontoen tillèt éi økt, kan ei andre pålogging avslutte den første, og symptomet ser ut som ei flagrande tilkopling snarare enn ein policy.

Eit sertifikat er ikkje eit passord

Eit klientsertifikat kan gå ut eller verte trekt tilbake medan kontopassordet held fram med å vere heilt korrekt. Ein passfrase for ein privat nøkkel er igjen ein tredje løyndom, og han vernar ei fil og ikkje ein konto.

Les feilen før du erstattar noko, og skaff deretter den riktige erstatninga frå den stadfeste operatøren. Hald serveridentitetsverifiseringa på medan du gjer det: å godta eit urelatert sertifikat eller kopiere den private nøkkelen til nokon andre er ikkje ein reparasjon, det er ein ny hending. Test deretter ressursen du faktisk treng, fordi ein tilkopla tunnel med ei utilgjengeleg teneste høyrer til ei anna gransking. Skriv ned kva trinn som mislukkast, slik at neste person ikkje startar heile prosessen på nytt.

Om økta vert oppretta og mislukkast seinare, registrer intervallet og eventuelle nærliggjande fornyingshendingar. Den registreringa skil eit problem med levetida til tokenet frå ein feil ved første pålogging, og det er skilnaden mellom ei fem minutts retting og ei veke med nye forsøk.