Uwierzytelnianie VPN nie powiodło się: rzadko winny jest port lub DNS

Niepowodzenie uwierzytelniania oznacza, że usługa otrzymała tożsamość i ją odrzuciła, co jest węższym stwierdzeniem, niż większość w to wkłada. Port jest otwarty, sesja TLS mogła się w pełni nawiązać, a coś w danych logowania lub koncie zostało odrzucone. Tekst błędu już wskazuje etap, więc zacznij od niego.

Błąd już powiedział, który etap zawiódł

Połączenie, które nigdy nie kończy uścisku dłoni TLS, w ogóle nie dotarło do uwierzytelniania. Połączenie, które kończy uścisk dłoni, a następnie zgłasza odrzucenie danych logowania, dotarło do niego i tam zawiodło. Te dwa wyniki wymagają różnych dochodzeń i często się je myli, ponieważ oba kończą się zamkniętym oknem.

OpenVPN czyni różnicę wyraźną komunikatem AUTH_FAILED od serwera, który jest decyzją, a nie błędem transportu. Przekroczenie czasu negocjacji TLS lub błąd weryfikacji certyfikatu należą do wcześniejszego etapu. Przeczytaj, który masz, zanim dotkniesz danych logowania, bo reset hasła nie naprawi uścisku dłoni, a zmiana zapory nie naprawi odrzuconego logowania. Jedna linia dziennika klienta odpowiada na to pytanie.

Ta sama logika dotyczy sesji, która łączy się, a potem pada. Niepowodzenie ponownego uwierzytelnienia w czterdziestej minucie to inna usterka niż odrzucenie przy pierwszym logowaniu, a odstęp jest wskazówką.

Potwierdź, że profil wskazuje właściwą usługę

Konto używane w witrynie dostawcy nie zawsze jest tym kontem, które akceptuje jego brama VPN. Zapisany profil może też wskazywać starą bramę długo po tym, jak usługa została przeniesiona.

Porównaj punkt końcowy w profilu z opublikowanym przez operatora i sprawdź, z jakim systemem tożsamości konsultuje się brama. Reset hasła w portalu internetowym niczego nie zmieni, jeśli tunel uwierzytelnia się wobec osobnego katalogu. Dane logowania do niepowiązanego serwera publicznego nie zadziałają na twoim, a testowanie hasła służbowego w profilu otrzymanym przez niezaufaną wiadomość jest w każdym razie złą wymianą. Potwierdź pochodzenie, zanim cokolwiek wpiszesz.

Dwie minuty przy profilu zapobiegają dniu zgadywania danych logowania.

Format logowania jest częścią danych logowania

Nazwa użytkownika może wymagać formy e-mail, prefiksu domeny lub sufiksu katalogu. Brama porównuje otrzymany ciąg, więc forma jest częścią danych logowania, a nie ozdobą.

Następnie wyklucz nudne przyczyny przed eskalacją. Sprawdź układ klawiatury, ewentualną końcową spację wstawioną przez kopiowanie i stary wpis w menedżerze haseł. Po resecie potwierdź, że VPN używa tego samego źródła tożsamości co strona, na której zmieniono hasło. Jeśli te szczegóły są poprawne, przestań zgadywać i zapytaj operatora, czy konto jest włączone i upoważnione do dostępu VPN. To poprawka po stronie usługi, a nie ustawienie klienta.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Linia dziennika z AUTH_FAILED zwykle zawiera kod przyczyny lub ciąg wyzwania. Skopiuj ją dokładnie, zamiast parafrazować, gdy prosisz o pomoc.

Drugie czynniki mają własną umowę

Profil może oczekiwać kodu jednorazowego, interaktywnego wyzwania lub logowania w przeglądarce, które zwraca klientowi token. Użyj przepływu obsługiwanego przez operatora, zamiast wymyślać własny.

Nie dołączaj kodu do hasła, chyba że ten format jest wyraźnie wymagany, ponieważ niektóre wdrożenia używają osobnego pola, a inne ciągu wyzwania. W przypadku kodów opartych na czasie sprawdź zegar urządzenia, bo kilka minut odchylenia unieważnia każdy kod. Jeśli logowanie w przeglądarce się powiedzie, a klient nigdy nie wznowi, zanotuj dokładnie ten punkt, bo wskazuje on przekazanie, a nie dane logowania. Kolejny reset hasła prawdopodobnie nie pomoże.

Limit sesji to inne częste odrzucenie. Jeśli konto pozwala na jedną sesję, drugie logowanie może zakończyć pierwsze, a objaw wygląda jak migoczące połączenie, a nie jak polityka.

Certyfikat to nie hasło

Certyfikat klienta może wygasnąć lub zostać unieważniony, podczas gdy hasło konta pozostaje całkowicie poprawne. Fraza hasłowa klucza prywatnego to znów trzeci sekret, a chroni plik, a nie konto.

Przeczytaj błąd, zanim cokolwiek wymienisz, a potem zdobądź właściwy zamiennik od zweryfikowanego operatora. Podczas tego zostaw włączoną weryfikację tożsamości serwera: przyjęcie niepowiązanego certyfikatu lub skopiowanie cudzego klucza prywatnego nie jest naprawą, to drugi incydent. Następnie przetestuj zasób, którego naprawdę potrzebujesz, ponieważ połączony tunel z nieosiągalną usługą należy do innego dochodzenia. Zapisz, który etap zawiódł, aby następna osoba nie zaczynała całego procesu od nowa.

Jeśli sesja się nawiąże i później zawiedzie, zarejestruj odstęp i wszelkie pobliskie zdarzenia odnowienia. Ten zapis oddziela problem z czasem życia tokena od niepowodzenia pierwszego logowania i jest różnicą między pięciominutową poprawką a tygodniem ponownych prób.