Jedno zariadenie stále zlyháva po obnovení hesla VPN
Nové heslo funguje všade okrem jedného klienta. Nájdite úložisko, ktoré stále drží starú hodnotu, obmedzte pokusy a overte jedným pokusom.
Obnovili ste heslo, otestovali ho v portáli a jeden notebook sa stále nedokáže pripojiť. Inštinkt je obnoviť ho znova, a práve tak sa účet zablokuje a zastarané tajomstvo sa stane incidentom. Klient VPN sa zriedka pýta heslo zakaždým; opýta sa raz a odpoveď uloží niekde, čo ste si nevybrali. Nájsť to miesto je celá práca a je to rýchlejšie ako ďalšie obnovenie.
Potvrďte, čo každý klient skutočne posiela
Predtým, než budete predpokladať, že problémom je heslo, skontrolujte účet, doménu a bránu na zlyhávajúcom klientovi. Prihlásenie do webového portálu môže používať iný systém identity než samotná VPN, takže úspešné prihlásenie do portálu nič nehovorí o autentifikácii protokolu. Niektoré nasadenia akceptujú e-mail v portáli a iné používateľské meno v tuneli. Potvrďte, akú identitu má klient prezentovať, skôr než čokoľvek obnovíte.
Prečítajte text chyby a klasifikujte ho. Chyba certifikátu, vypršaná výzva alebo nepodporovaná šifra nie je zastarané heslo, a ak ju tak ošetríte, vznikne slučka obnovení bez účinku. Ak má služba politiku uzamknutia, zastavte sa po dvoch alebo troch neúspešných pokusoch a pred pokračovaním potvrďte stav účtu.
Vymenujte úložiská namiesto hádania
Štyri úložiská držia tajomstvo VPN a tabuľka nižšie priraďuje každé z nich k tomu, kde hodnota prežíva a čo vlastne znamená jej vymazanie. Natívny profil OS drží tajomstvo v úložisku poverení platformy, preto záznam môže prežiť aplikáciu, ktorá ho zapísala. Konfiguračný súbor klienta drží hodnotu tam, kde ju ten klient číta, buď vloženú, alebo v odkazovanom súbore auth, takže úprava iného súboru nič nemení. Cookie portálu v prehliadači a poverenie doručované politikou žijú niekde, čo zariadenie v skutočnosti nevlastní, a to rozhoduje, kto ich smie meniť.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Kontrolujte ich v pevnom poradí: najprv úložisko poverení OS, pretože ho klient predvolene konzultuje, potom vlastný trezor alebo konfiguračný súbor klienta, potom reláciu prehliadača a napokon politiku, ktorá môže prepísať všetky tri. Poradie je dôležité, pretože neskoršie úložisko môže ticho obnoviť skoršie a vy opravíte nesprávnu vrstvu, kým porucha pretrváva. Zapíšte, ktoré úložisko ste zmenili, lebo tá poznámka robí z ďalšieho obnovenia dvojminútovú prácu namiesto celého popoludnia.
Pozrite sa do úložiska, ktoré klient skutočne používa
Čítajte pred vymazaním, aby ste vedeli, ktorý záznam patril VPN. Príkazy nižšie zobrazujú a kontrolujú namiesto odstraňovania, čo udržiava diagnostiku vratnú.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordV Linuxe -s zobrazuje tajomstvá, ktoré NetworkManager inak skrýva. V macOS príkaz Keychain vypíše uloženú položku, takže s históriou terminála zaobchádzajte ako s citlivou. Ak zlyhávajúci klient je aplikácia tretej strany s vlastným trezorom, úložisko OS bude vyzerať správne, kým aplikácia drží vlastnú kópiu, a práve v tom trezore patrí zmena.
Postarajte sa o zariadenia, ktoré sú offline
Notebooky, ktoré sa prebúdzajú a znova sa pripájajú bez dozoru budú prezentovať staré tajomstvo, kým existuje ich kópia. Naplánujte aktualizáciu tak, aby tieto zariadenia boli opravené skôr, než sa znova pokúsia v dávke, a zvážte vypnutie automatického pripájania v postihnutom profile, kým každé neprejde podporovaným postupom.
Pri spravovanej flotile zmeňte hodnotu tam, kde je definovaná politika. Úprava lokálnej kópie na zariadení, ktorého poverenie sa poskytuje centrálne, je v najlepšom prípade dočasná; nasledujúce obnovenie politiky vráti starú hodnotu a porucha sa vráti bez vysvetlenia.
Overte jedným kontrolovaným pokusom
Aktualizujte zamýšľaný záznam, raz sa znova pripojte a potvrďte, že tunel dosiahne niečo konkrétne. Jeden kontrolovaný pokus poskytne použiteľnú chybu, ak zlyhá, kým dvadsať poskytne uzamknutý účet a záhadu. Ak klient stále zlyháva po oprave úložiska, zachyťte jednu chybu, ktorá nie je tajomstvom, a zastavte sa. Uchovajte tú chybu s názvom zariadenia, aby ďalšia zmena začala tam, kde ste skončili.
Zmena hesla sa nedotýka certifikátov, relačných tokenov ani registrácie MFA a to sú samostatné identity s vlastným životným cyklom. Obnovený certifikát sa neopraví rotáciou hesla a token vydaný pred obnovením môže byť stále platný. Skončite zápisom, ktoré úložisko držalo zastaranú hodnotu, pretože ďalšie obnovenie narazí na ten istý zoznam.