Falha de autenticação VPN: raramente é a porta ou o DNS

Falha de autenticação significa que o serviço recebeu uma identidade e a recusou, uma afirmação mais estreita do que a maioria das pessoas lê nela. A porta está aberta, a sessão TLS pode ter sido concluída e algo nas credenciais ou na conta foi rejeitado. O texto do erro já nomeia a etapa, então comece por aí.

O erro já lhe disse qual etapa falhou

Uma conexão que nunca conclui o aperto de mão TLS não chegou à autenticação de modo algum. Uma conexão que conclui o aperto de mão e depois relata uma rejeição de credenciais chegou lá e falhou ali. Esses dois resultados exigem investigações diferentes, e muitas vezes são confundidos porque ambos terminam com uma janela fechada.

OpenVPN torna a distinção explícita com uma mensagem AUTH_FAILED do servidor, que é uma decisão e não um erro de transporte. Um tempo esgotado na negociação TLS ou um erro de verificação do certificado pertencem à etapa anterior. Leia qual dos dois tem antes de tocar nas credenciais, porque redefinir a senha não repara um aperto de mão e alterar a firewall não repara um login rejeitado. Uma linha do registo do cliente responde à pergunta.

A mesma lógica aplica-se a uma sessão que liga e depois cai. Uma falha de reautenticação no minuto quarenta é um defeito diferente de uma rejeição no primeiro login, e o intervalo é a pista.

Confirme que o perfil aponta para o serviço certo

A conta usada no site de um fornecedor não é sempre a conta que o seu gateway VPN aceita. Um perfil guardado também pode apontar para um gateway antigo muito depois de o serviço se ter mudado.

Compare o ponto final do perfil com o publicado pelo operador e verifique que sistema de identidade o gateway consulta. Redefinir a senha num portal web não muda nada se o túnel se autentica contra um diretório separado. Credenciais de um servidor público não relacionado não funcionarão no seu, e testar uma senha de trabalho num perfil recebido por uma mensagem não fiável é uma má troca em qualquer caso. Confirme a origem antes de escrever seja o que for.

Dois minutos no perfil evitam um dia de adivinhar credenciais.

O formato de login faz parte das credenciais

Um nome de utilizador pode exigir uma forma de correio eletrónico, um prefixo de domínio ou um sufixo de diretório. O gateway compara a cadeia que recebeu, por isso a forma faz parte das credenciais e não é decoração.

Depois exclua as causas aborrecidas antes de escalar. Verifique a disposição do teclado, qualquer espaço final introduzido por uma cópia e uma entrada antiga no gestor de palavras-passe. Após uma redefinição, confirme que a VPN usa a mesma fonte de identidade que a página onde a senha foi alterada. Se esses detalhes estiverem corretos, pare de adivinhar e pergunte ao operador se a conta está ativa e autorizada para acesso VPN. Isso é uma correção do lado do serviço, não uma definição do cliente.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

A linha de registo que transporta AUTH_FAILED inclui habitualmente um código de motivo ou uma cadeia de desafio. Copie-a exatamente em vez de a parafrasear quando pedir ajuda.

Os segundos fatores têm o seu próprio contrato

O perfil pode esperar um código de uso único, um desafio interativo ou um início de sessão no navegador que devolve um token ao cliente. Use o fluxo suportado pelo operador em vez de inventar um.

Não acrescente um código à senha a menos que esse formato seja explicitamente exigido, porque algumas implementações usam um campo separado e outras uma cadeia de desafio. Para códigos baseados no tempo, verifique o relógio do dispositivo, pois alguns minutos de desvio invalidam todos os códigos. Se o início de sessão no navegador tiver êxito e o cliente nunca retomar, anote exatamente esse ponto, porque identifica a entrega e não a credencial. Outra redefinição de senha provavelmente não ajudará.

O limite de sessões é a outra rejeição comum. Se a conta permitir uma sessão, um segundo login pode terminar o primeiro, e o sintoma parece uma ligação intermitente em vez de uma política.

Um certificado não é uma senha

Um certificado de cliente pode expirar ou ser revogado enquanto a senha da conta continua perfeitamente correta. A frase de acesso de uma chave privada é novamente um terceiro segredo, e protege um ficheiro e não uma conta.

Leia o erro antes de substituir seja o que for e depois obtenha a substituição correta do operador verificado. Mantenha a verificação de identidade do servidor ativa enquanto o faz: aceitar um certificado não relacionado ou copiar a chave privada de outra pessoa não é uma reparação, é um segundo incidente. Depois teste o recurso de que realmente precisa, porque um túnel ligado com um serviço inalcançável pertence a outra investigação. Anote qual etapa falhou para que a pessoa seguinte não recomece todo o processo.

Se a sessão se estabelecer e falhar mais tarde, registe o intervalo e quaisquer eventos de renovação próximos. Esse registo separa um problema de duração do token de uma falha no primeiro login, e é a diferença entre uma correção de cinco minutos e uma semana de novas tentativas.