Сбой аутентификации VPN: редко виноват порт или DNS

Сообщение о сбое аутентификации означает, что служба получила идентичность и отклонила её, и это более узкое утверждение, чем обычно из него делают. Порт открыт, сеанс TLS вполне мог завершиться, а что-то в учётных данных или в записи было отклонено. Текст ошибки уже называет этап, поэтому начните с него.

Ошибка уже сказала, на каком этапе произошёл сбой

Соединение, которое так и не завершает рукопожатие TLS, вообще не дошло до аутентификации. Соединение, которое завершает рукопожатие и затем сообщает об отклонении учётных данных, дошло до неё и там не прошло. Эти два исхода требуют разных расследований, и их часто путают, потому что оба заканчиваются закрытым окном.

OpenVPN делает различие явным с помощью сообщения AUTH_FAILED от сервера, которое является решением, а не ошибкой транспорта. Тайм-аут переговоров TLS или ошибка проверки сертификата относятся к более раннему этапу. Прочитайте, какой из них у вас, прежде чем трогать учётные данные, потому что сброс пароля не исправит рукопожатие, а изменение брандмауэра не исправит отклонённый вход. Одна строка клиентского журнала отвечает на вопрос.

Та же логика применима к сеансу, который подключается и затем обрывается. Сбой повторной аутентификации на сороковой минуте — иная неисправность, чем отказ при первом входе, и интервал является подсказкой.

Убедитесь, что профиль указывает на нужную службу

Учётная запись, используемая на сайте провайдера, не всегда та, которую принимает его шлюз VPN. Сохранённый профиль также может указывать на старый шлюз намного позже того, как служба переехала.

Сравните конечную точку в профиле с опубликованной оператором и проверьте, к какой системе идентичности обращается шлюз. Сброс пароля на веб-портале ничего не изменит, если туннель аутентифицируется по отдельному каталогу. Учётные данные для постороннего публичного сервера не подойдут для вашего, а проверка рабочего пароля в профиле, полученном через недоверенное сообщение, в любом случае плохой обмен. Подтвердите происхождение, прежде чем что-либо вводить.

Две минуты над профилем предотвращают день угадывания учётных данных.

Формат входа является частью учётных данных

Имя пользователя может требовать формы электронной почты, префикса домена или суффикса каталога. Шлюз сравнивает полученную строку, поэтому форма — часть учётных данных, а не украшение.

Затем исключите скучные причины, прежде чем эскалировать. Проверьте раскладку клавиатуры, любой конечный пробел, внесённый копированием, и старую запись в менеджере паролей. После сброса убедитесь, что VPN использует тот же источник идентичности, что и страница, где сменили пароль. Если эти детали верны, прекратите гадать и спросите оператора, включена ли запись и разрешён ли ей доступ к VPN. Это исправление на стороне службы, а не настройка клиента.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Строка журнала с AUTH_FAILED обычно содержит код причины или строку вызова. Копируйте её точно, а не пересказывайте, когда просите о помощи.

У вторых факторов свой договор

Профиль может ожидать одноразовый код, интерактивный вызов или вход через браузер, который возвращает клиенту токен. Используйте поток, поддерживаемый оператором, а не изобретайте свой.

Не добавляйте код к паролю, если этот формат явно не требуется, потому что одни развёртывания используют отдельное поле, а другие — строку вызова. Для кодов, основанных на времени, проверьте часы устройства, так как несколько минут расхождения делают каждый код недействительным. Если вход через браузер успешен, а клиент так и не продолжает, отметьте именно эту точку, потому что она указывает на передачу, а не на учётные данные. Ещё один сброс пароля вряд ли поможет.

Ограничение числа сеансов — другой частый отказ. Если запись допускает один сеанс, второй вход может завершить первый, и симптом выглядит как мерцающее соединение, а не как политика.

Сертификат — не пароль

Клиентский сертификат может истечь или быть отозван, пока пароль учётной записи остаётся совершенно правильным. Парольная фраза закрытого ключа — снова третий секрет, и она защищает файл, а не учётную запись.

Прочитайте ошибку, прежде чем что-либо заменять, затем получите правильную замену у проверенного оператора. Оставляйте проверку идентичности сервера включённой, пока это делаете: принять посторонний сертификат или скопировать чужой закрытый ключ — не ремонт, а второй инцидент. Затем проверьте ресурс, который вам действительно нужен, потому что подключённый туннель с недоступной службой относится к другому расследованию. Запишите, на каком этапе произошёл сбой, чтобы следующий человек не начинал весь процесс заново.

Если сеанс устанавливается и позже завершается сбоем, зафиксируйте интервал и ближайшие события обновления. Эта запись отделяет проблему срока жизни токена от сбоя при первом входе, и это разница между пятиминутным исправлением и неделей повторных попыток.