Jedan uređaj i dalje ne uspeva posle resetovanja VPN lozinke

Resetovali ste lozinku, testirali je na portalu, a jedan laptop i dalje ne može da se poveže. Instinkt je da je resetujete ponovo, i tako se nalog zaključava, a zastarela tajna postaje incident. VPN klijent retko traži lozinku svaki put; traži je jednom i čuva odgovor negde što niste izabrali. Pronalaženje tog mesta je ceo posao, i brže je od još jednog resetovanja.

Potvrdite šta svaki klijent zaista šalje

Proverite nalog, domen i gejtvej na klijentu koji ne uspeva pre nego što pretpostavite da je lozinka problem. Prijava na veb portal može koristiti drugačiji sistem identiteta od samog VPN-a, pa uspešna prijava na portalu ne govori ništa o autentifikaciji protokola. Neka postavljanja prihvataju imejl na portalu i drugačije korisničko ime u tunelu. Potvrdite koji identitet je klijent konfigurisan da predstavi pre nego što bilo šta resetujete.

Pročitajte tekst greške i klasifikujte ga. Greška sertifikata, istekao izazov ili nepodržana šifra nije zastarela lozinka, a tretiranje kao takve pravi petlju resetovanja bez efekta. Ako servis ima politiku zaključavanja, zaustavite se posle dva ili tri neuspešna pokušaja i potvrdite stanje naloga pre nego što nastavite.

Popišite skladišta umesto da nagađate

Četiri skladišta drže VPN tajnu, a tabela ispod povezuje svako od njih sa tim gde vrednost preživljava i šta njeno brisanje zaista znači. Izvorni OS profil drži tajnu u skladištu akreditiva platforme, zbog čega unos može nadživeti aplikaciju koja ga je upisala. Konfiguraciona datoteka klijenta drži vrednost tamo gde je taj klijent čita, bilo umetnutu ili u navedenoj auth datoteci, pa uređivanje druge datoteke ništa ne menja. Kolačić portala u pregledaču i akreditiv koji isporučuje politika žive negde što uređaj zaista ne poseduje, i to odlučuje ko sme da ih menja.

Proveravajte ih u fiksnom redosledu: prvo skladište akreditiva OS-a, jer ga klijent podrazumevano konsultuje, zatim sopstveni sef ili konfiguracionu datoteku klijenta, zatim sesiju pregledača i na kraju politiku koja može da prepiše sva tri. Redosled je važan jer kasnije skladište može tiho da vrati ranije, pa ćete popraviti pogrešan sloj dok kvar traje. Zapišite koje skladište ste promenili, jer ta beleška čini sledeće resetovanje dvominutnim poslom umesto celog popodneva.

Gledajte u skladište koje klijent zaista koristi

Čitajte pre nego što obrišete, da biste znali koji je unos pripadao VPN-u. Komande ispod prikazuju i pregledaju umesto da uklanjaju, što dijagnozu održava reverzibilnom.

# Windows credential store
cmdkey /list | findstr /i vpn

# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid

# macOS Keychain
security find-generic-password -s "Company VPN" -g

# Linux NetworkManager
nmcli -s connection show "Work" | grep -i password

Na Linuxu, -s prikazuje tajne koje NetworkManager inače skriva. Na macOS-u komanda Keychain ispisuje sačuvanu stavku, pa tretirajte istoriju terminala kao osetljivu. Ako je klijent koji ne uspeva aplikacija treće strane sa sopstvenim sefom, skladište OS-a će izgledati ispravno dok aplikacija drži sopstvenu kopiju, i u tom sefu treba izvršiti promenu.

Pozabavite se uređajima koji su van mreže

Laptopovi koji se probude i ponovo povežu bez nadzora će nastaviti da predstavljaju staru tajnu dokle god njihova kopija postoji. Planirajte ažuriranje tako da ti uređaji budu ispravljeni pre nego što ponovo pokušaju u naletu, i razmotrite isključivanje automatskog povezivanja na pogođenom profilu dok svaki ne prođe kroz podržani tok.

Za upravljani flot promenite vrednost tamo gde je politika definisana. Uređivanje lokalne kopije na uređaju čiji se akreditiv obezbeđuje centralno u najboljem je slučaju privremeno; sledeće osvežavanje politike vraća staru vrednost i kvar se vraća bez objašnjenja.

Proverite jednim kontrolisanim pokušajem

Ažurirajte željeni unos, ponovo se povežite jednom i potvrdite da tunel dospeva do nečeg konkretnog. Jedan kontrolisani pokušaj daje upotrebljivu grešku ako ne uspe, dok dvadeset daje zaključan nalog i misteriju. Ako klijent i dalje ne uspeva posle ispravke skladišta, zabeležite jednu grešku koja nije tajna i zaustavite se. Sačuvajte tu grešku uz ime uređaja, da sledeća smena počne tamo gde ste vi završili.

Promena lozinke ne dira sertifikate, sesijske tokene ni MFA registraciju, a to su odvojeni identiteti sa sopstvenim životnim ciklusom. Obnovljeni sertifikat se ne popravlja rotiranjem lozinke, a token izdat pre resetovanja može i dalje biti važeći. Završite tako što ćete zapisati koje je skladište držalo zastarelu vrednost, jer će sledeće resetovanje udariti na istu listu.