Одно устройство по-прежнему не подключается после смены пароля VPN
Новый пароль работает везде, кроме одного клиента. Найдите хранилище, где осталось старое значение, ограничьте попытки и проверьте одной попыткой.
Вы сбросили пароль, проверили его на портале, а один ноутбук всё ещё не подключается. Инстинкт велит сбросить пароль ещё раз, и именно так учётная запись блокируется, а устаревший секрет превращается в инцидент. VPN-клиент редко спрашивает пароль каждый раз; он спрашивает один раз и сохраняет ответ там, где вы не выбирали. Найти это место — вся работа, и это быстрее, чем ещё один сброс.
Проверьте, что на самом деле отправляет каждый клиент
Прежде чем считать пароль проблемой, проверьте учётную запись, домен и шлюз на сбойном клиенте. Вход на веб-портал может использовать другую систему идентификации, чем сам VPN, поэтому успешный вход на портал ничего не говорит об аутентификации протокола. Некоторые развёртывания принимают на портале электронную почту, а в туннеле — другое имя пользователя. Подтвердите, какую идентичность настроен предъявлять клиент, прежде чем что-либо сбрасывать.
Прочитайте текст ошибки и классифицируйте его. Ошибка сертификата, истёкший вызов или неподдерживаемый шифр — это не устаревший пароль, и если считать это паролем, получится цикл сбросов без эффекта. Если в службе есть политика блокировки, остановитесь после двух или трёх неудачных попыток и подтвердите состояние учётной записи, прежде чем продолжать.
Перечислите хранилища вместо догадок
Четыре хранилища содержат секрет VPN, и таблица ниже связывает каждое из них с тем, где значение выживает и что на самом деле означает его очистка. Собственный профиль ОС держит секрет в хранилище учётных данных платформы, поэтому запись может пережить приложение, которое её создало. Файл конфигурации клиента держит значение там, где этот клиент его читает, — встроенным или в указанном auth-файле, поэтому правка другого файла ничего не меняет. Куки портала в браузере и учётные данные, доставляемые политикой, живут там, чем устройство на самом деле не владеет, и это решает, кому разрешено их менять.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Проверяйте их в фиксированном порядке: сначала хранилище учётных данных ОС, потому что клиент обращается к нему по умолчанию, затем собственное хранилище или файл конфигурации клиента, затем сеанс браузера и, наконец, политика, которая может перезаписать все три. Порядок важен, потому что более позднее хранилище может молча восстановить раннее, и вы исправите не тот уровень, пока сбой сохраняется. Запишите, какое хранилище вы изменили: именно эта заметка превращает следующий сброс в двухминутную работу вместо целого дня.
Смотрите в хранилище, которое клиент действительно использует
Читайте перед удалением, чтобы знать, какая запись относилась к VPN. Приведённые ниже команды показывают и проверяют, а не удаляют, что сохраняет диагностику обратимой.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordВ Linux -s показывает секреты, которые NetworkManager иначе скрывает. В macOS команда Keychain выводит сохранённый элемент, поэтому считайте прокрутку терминала конфиденциальной. Если сбойный клиент — стороннее приложение с собственным хранилищем, хранилище ОС будет выглядеть правильным, пока приложение держит свою копию, и именно в этом хранилище нужно менять значение.
Займитесь устройствами, которые не в сети
Ноутбуки, которые просыпаются и переподключаются без присмотра будут предъявлять старый секрет столько, сколько существует их копия. Спланируйте обновление так, чтобы эти устройства были исправлены до того, как они повторят попытку разом, и рассмотрите отключение автоподключения в затронутом профиле, пока каждое из них не пройдёт поддерживаемый сценарий.
Для управляемого парка меняйте значение там, где определена политика. Правка локальной копии на устройстве, учётные данные которого выдаются централизованно, в лучшем случае временна; следующее обновление политики вернёт старое значение, и сбой повторится без объяснений.
Проверьте одной контролируемой попыткой
Обновите нужную запись, переподключитесь один раз и подтвердите, что туннель достигает чего-то конкретного. Одна контролируемая попытка даёт полезную ошибку при неудаче, а двадцать дают заблокированную учётную запись и загадку. Если клиент всё ещё сбоит после исправления хранилища, зафиксируйте одну не секретную ошибку и остановитесь. Храните эту ошибку вместе с именем устройства, чтобы следующая смена началась там, где вы закончили.
Смена пароля не касается сертификатов, сеансовых токенов или регистрации MFA, и это отдельные идентичности со своим жизненным циклом. Обновлённый сертификат не исправляется ротацией пароля, а токен, выданный до сброса, может быть всё ещё действителен. В конце запишите, какое хранилище содержало устаревшее значение, потому что следующий сброс наткнётся на тот же список.