Autentificarea VPN a eșuat: rareori este vina portului sau a DNS-ului

Autentificarea a eșuat înseamnă că serviciul a primit o identitate și a respins-o, o afirmație mai îngustă decât presupun majoritatea. Portul este deschis, sesiunea TLS s-ar putea să se fi încheiat, iar ceva din acreditări sau din cont a fost respins. Textul erorii numește deja etapa, așa că începeți de acolo.

Eroarea v-a spus deja care etapă a eșuat

O conexiune care nu finalizează niciodată strângerea de mână TLS nu a ajuns deloc la autentificare. O conexiune care finalizează strângerea de mână și apoi raportează respingerea acreditărilor a ajuns acolo și a eșuat acolo. Aceste două rezultate necesită investigații diferite și sunt adesea confundate pentru că ambele se termină cu o fereastră închisă.

OpenVPN face distincția explicită printr-un mesaj AUTH_FAILED de la server, care este o decizie, nu o eroare de transport. Un timeout al negocierii TLS sau o eroare de verificare a certificatului aparțin etapei anterioare. Citiți care dintre ele este cazul înainte de a atinge acreditările, fiindcă resetarea parolei nu poate repara o strângere de mână, iar schimbarea firewall-ului nu poate repara o autentificare respinsă. O linie din jurnalul clientului răspunde la întrebare.

Aceeași logică se aplică unei sesiuni care se conectează și apoi cade. O eșecare a reautentificării în minutul patruzeci este un defect diferit de o respingere la prima autentificare, iar intervalul este indiciul.

Confirmați că profilul indică serviciul corect

Contul folosit pe site-ul unui furnizor nu este întotdeauna contul pe care îl acceptă gateway-ul său VPN. Un profil salvat poate indica și o poartă veche mult timp după ce serviciul s-a mutat.

Comparați punctul final din profil cu cel publicat de operator și verificați ce sistem de identitate consultă gateway-ul. Resetarea parolei într-un portal web nu schimbă nimic dacă tunelul se autentifică împotriva unui director separat. Acreditările pentru un server public nelegat nu vor funcționa la al dumneavoastră, iar testarea unei parole de serviciu într-un profil primit printr-un mesaj nesigur este în orice caz un schimb prost. Confirmați originea înainte de a tasta ceva.

Două minute pe profil evită o zi de ghicit acreditările.

Formatul de autentificare face parte din acreditări

Un nume de utilizator poate necesita o formă de e-mail, un prefix de domeniu sau un sufix de director. Gateway-ul compară șirul primit, deci forma face parte din acreditări, nu este decor.

Apoi eliminați cauzele plictisitoare înainte de escaladare. Verificați aranjarea tastaturii, orice spațiu final introdus de o copiere și o intrare veche din managerul de parole. După o resetare, confirmați că VPN-ul folosește aceeași sursă de identitate ca pagina unde a fost schimbată parola. Dacă aceste detalii sunt corecte, opriți ghicitul și întrebați operatorul dacă contul este activat și autorizat pentru acces VPN. Aceasta este o corecție din partea serviciului, nu o setare a clientului.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Linia de jurnal care poartă AUTH_FAILED include de obicei un cod de motiv sau un șir de provocare. Copiați-o exact, nu o parafrazați când cereți ajutor.

Al doilea factor are propriul contract

Profilul poate aștepta un cod de unică folosință, o provocare interactivă sau o autentificare în browser care returnează un token clientului. Folosiți fluxul suportat de operator, nu inventați unul.

Nu adăugați un cod la parolă decât dacă acel format este cerut explicit, pentru că unele implementări folosesc un câmp separat, iar altele un șir de provocare. Pentru codurile bazate pe timp, verificați ceasul dispozitivului, fiindcă câteva minute de abatere invalidează fiecare cod. Dacă autentificarea în browser reușește și clientul nu reia niciodată, notați exact acel punct, pentru că identifică predarea, nu acreditarea. Încă o resetare a parolei probabil nu va ajuta.

Limita de sesiuni este cealaltă respingere obișnuită. Dacă contul permite o singură sesiune, o a doua autentificare poate încheia prima, iar simptomul arată ca o conexiune intermitentă, nu ca o politică.

Un certificat nu este o parolă

Un certificat de client poate expira sau fi revocat în timp ce parola contului rămâne perfect corectă. Fraza de acces a unei chei private este din nou un al treilea secret și protejează un fișier, nu un cont.

Citiți eroarea înainte de a înlocui ceva, apoi obțineți înlocuirea corectă de la operatorul verificat. Păstrați activă verificarea identității serverului în timp ce faceți asta: acceptarea unui certificat nelegat sau copierea cheii private a altcuiva nu este o reparație, ci un al doilea incident. Apoi testați resursa de care aveți cu adevărat nevoie, pentru că un tunel conectat cu un serviciu inaccesibil aparține altei investigații. Notați care etapă a eșuat pentru ca următoarea persoană să nu reia tot procesul.

Dacă sesiunea se stabilește și eșuează mai târziu, înregistrați intervalul și orice evenimente de reînnoire din apropiere. Acea înregistrare separă o problemă a duratei de viață a tokenului de un eșec la prima autentificare și este diferența dintre o corectare de cinci minute și o săptămână de reîncercări.