Én enhet feiler fortsatt etter tilbakestilling av VPN-passordet

Du tilbakestilte passordet, testet det i portalen, og én laptop får fortsatt ikke tilkobling. Instinktet er å tilbakestille det igjen, og det er slik en konto blir låst og en foreldet hemmelighet blir en hendelse. En VPN-klient ber sjelden om et passord hver gang; den ber én gang og lagrer svaret et sted du ikke valgte. Å finne det stedet er hele jobben, og det er raskere enn nok en tilbakestilling.

Bekreft hva hver klient faktisk sender

Sjekk kontoen, domenet og gatewayen på den feilende klienten før du antar at passordet er problemet. En portalpålogging kan bruke et annet identitetssystem enn VPN-en selv, så en vellykket innlogging i portalen sier ingenting om protokollens autentisering. Noen installasjoner godtar en e-postadresse i portalen og et annet brukernavn i tunnelen. Bekreft hvilken identitet klienten er konfigurert til å presentere før du tilbakestiller noe.

Les feilteksten og klassifiser den. En sertifikatfeil, en utløpt utfordring eller en chiffersuite som ikke støttes er ikke et foreldet passord, og å behandle det som ett gir en tilbakestillingsløkke uten effekt. Hvis tjenesten har en låsepolicy, stopp etter to eller tre mislykkede forsøk og bekreft kontotilstanden før du fortsetter.

Kartlegg lagrene i stedet for å gjette

Fire lagre holder en VPN-hemmelighet, og tabellen nedenfor kobler hvert av dem til hvor verdien overlever og hva det å slette den faktisk betyr. En innebygd OS-profil holder hemmeligheten i plattformens legitimasjonslager, og derfor kan oppføringen leve lenger enn programmet som skrev den. En klientkonfigurasjonsfil holder verdien der den klienten leser den, enten innebygd eller i en referert auth-fil, så å redigere en annen fil endrer ingenting. En portalkake i nettleseren og en legitimasjon levert av policy lever et sted enheten egentlig ikke eier, og det avgjør hvem som har lov til å endre dem.

Sjekk dem i en fast rekkefølge: OS-legitimasjonslageret først, fordi det er det klienten bruker som standard, så klientens egen hvelving eller konfigurasjonsfil, så nettleserøkten, og til slutt policyen som kan overskrive alle tre. Rekkefølgen betyr noe fordi et senere lager stille kan gjenopprette et tidligere, og du vil ha rettet feil lag mens feilen vedvarer. Skriv ned hvilket lager du endret, for den notaten er det som gjør den neste tilbakestillingen til en to-minutters jobb i stedet for en hel ettermiddag.

Se i lageret klienten faktisk bruker

Les før du sletter, så du vet hvilken oppføring som hørte til VPN-en. Kommandoene nedenfor lister opp og inspiserer i stedet for å fjerne, noe som holder diagnosen reverserbar.

# Windows credential store
cmdkey /list | findstr /i vpn

# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid

# macOS Keychain
security find-generic-password -s "Company VPN" -g

# Linux NetworkManager
nmcli -s connection show "Work" | grep -i password

På Linux viser -s hemmeligheter som NetworkManager ellers skjuler. På macOS skriver Keychain-kommandoen ut det lagrede elementet, så behandle terminalens rullehistorikk som sensitiv. Hvis den feilende klienten er en tredjepartsapp med egen hvelving, vil OS-lageret se riktig ut mens appen beholder sin egen kopi, og det er den hvelvingen endringen hører hjemme i.

Håndter enhetene som er frakoblet

Laptoper som våkner og kobler til på nytt uten tilsyn vil fortsette å presentere den gamle hemmeligheten så lenge kopien deres finnes. Planlegg oppdateringen slik at disse enhetene rettes før de prøver igjen i en bølge, og vurder å slå av automatisk tilkobling på den berørte profilen til hver av dem har vært gjennom den støttede flyten.

For en administrert flåte endrer du verdien der policyen er definert. Å redigere en lokal kopi på en enhet der legitimasjonen provisjoneres sentralt er i beste fall midlertidig; neste policyoppdatering gjenoppretter den gamle verdien, og feilen kommer tilbake uten forklaring.

Verifiser med ett kontrollert forsøk

Oppdater den tiltenkte oppføringen, koble til én gang på nytt, og bekreft at tunnelen når noe konkret. Ett kontrollert forsøk gir en brukbar feil hvis det mislykkes, mens tjue gir en låst konto og et mysterium. Hvis en klient fortsatt feiler etter at lageret er rettet, fang én ikke-hemmelig feil og stopp. Ta vare på feilen sammen med enhetsnavnet, så neste skift starter der du sluttet.

En passordendring berører ikke sertifikater, sesjonstokener eller MFA-registrering, og det er separate identiteter med sin egen livssyklus. Et fornyet sertifikat blir ikke rettet ved å rotere et passord, og et token utstedt før tilbakestillingen kan fortsatt være gyldig. Avslutt med å skrive ned hvilket lager som holdt den foreldede verdien, for den neste tilbakestillingen vil treffe den samme listen.