Jeden používateľ sa nemôže prihlásiť do VPN: usporiadaná diagnostika

Keď sa jeden človek nedokáže pripojiť, zatiaľ čo zvyšok tímu pokračuje v práci, užitočná otázka nie je, čo je pokazené, ale ktorá vrstva sa nezhodla. Prihlásenie je reťaz: klient sa spustí, brána odpovie, identita sa uplatní, druhý faktor sa splní, politika sa vyhodnotí a až potom prúdi prevádzka. Prerušenie kdekoľvek v tomto reťaze k vám dorazí ako tá istá veta od používateľa, preto je prvou úlohou nájsť článok, ktorý skutočne zlyhal.

Berte hlásenie ako východiskový bod, nie ako diagnózu. Kontroly nižšie idú od najlacnejšej a každá je napísaná tak, aby vyšetrovanie ukončila, keď zlyhá.

Určite fázu a časovú pečiatku

Predtým než sa dotknete akejkoľvek konfigurácie, zapíšte si štyri veci: klienta a jeho verziu, presnú formuláciu na obrazovke, minútu pokusu a sieť, v ktorej sa dotyčný nachádzal. Formulácia nesie skutočnú informáciu, pretože odmietnuté prihlasovacie údaje, brána, ktorá neodpovedá, a dokončené prihlásenie, ktoré napriek tomu neotvorí internú stránku sú tri rôzne problémy s tromi rôznymi vlastníkmi. Všimnite si, či klient vytvoril lokálny riadok protokolu, pretože klient, ktorý nikdy neodoslal paket, nemá k hľadaniu na strane servera čo dodať. S uloženou časovou pečiatkou sa každá ďalšia požiadavka stáva vyhľadaním, nie honom.

V tomto bode prestaňte hádať heslá. Tam, kde má účet limit opakovaní, môže dávka rýchlych pokusov účet uzamknúť a pridať druhú, umelú poruchu na tú skutočnú. Zaznamenajte, koľko pokusov už prebehlo, aby sa uzamknutie neskôr neplietlo s novým príznakom. Uzamknutý účet vám tiež berie schopnosť rozlíšiť nesprávne heslo od odmietnutej politiky, keďže oboje dorazí ako odmietnutie.

Prečítajte udalosť identity pre tento jediný pokus

Požiadajte správcu, aby vytiahol záznam o overení, ktorý zodpovedá zapísanej minúte. V nasadení Windows NPS príručka spoločnosti Microsoft na riešenie problémov s NPS dokumentuje udalosť odmietnutia 6273 spolu s kódom dôvodu, ktorý ju sprevádza, a ten zvyčajne oddeľuje neznámeho používateľa, zlé prihlasovacie údaje, nesúlad politiky a hovor prerušený z nesúvisiaceho dôvodu.

Prázdny výsledok je tiež informácia. Ak sa do služby identity nič nedostalo, pokus zomrel skôr: zastaraná adresa brány v profile, poslucháč, ku ktorému sa klient nedostane, alebo hostiteľ vyradený z prevádzky, kým profil ďalej žil. Ak záznam existuje a hlási úspech, prihlasovacie údaje nie sú problém a spor sa presúva na autorizáciu alebo na smerovanie za bránou. Tieto dva výsledky ukazujú opačným smerom, a preto sa hľadanie v protokoloch musí uskutočniť skôr, než niekto preinštaluje klienta.

Kód dôvodu si nechajte v tikete. Toto jediné pole mení ďalší výskyt na päťminútové vyhľadanie namiesto opakovaného vyšetrovania. Spárujte ho s verziou klienta, pretože kód, ktorý sa objaví v jednom builde, je iná konverzácia ako ten, ktorý sa objaví v každom builde.

Meňte jednu podmienku naraz, v rámci politiky

Pokušenie je preinštalovať klienta, resetovať heslo a presunúť notebook do inej siete na jeden prechod. To niekedy opraví príznak a vždy zničí dôkazy. Vyberte namiesto toho jednu povolenú zámenu: ten istý človek na druhom registrovanom zariadení, alebo schválená testovacia identita na tom istom zariadení. Každá zámena odpovedá presne na jednu otázku, takže úspech zúži poruchu na stranu, ktorú ste zmenili, namiesto obviňovania celej VPN.

Pre toto porovnanie si nepožičiavajte prihlasovacie údaje kolegu. Použite testovaciu identitu cez podporovaný proces a nikdy nekopírujte kľúč zariadenia ani nepreskakujte registráciu preto, že by to bolo rýchlejšie. Tam, kde politika zámenu úplne zakazuje, je toto obmedzenie súčasťou testovaného systému a patrí do záznamu, nie do obchádzky.

Potvrďte opravu na pôvodnej ceste

Keď je poškodený článok identifikovaný, opravte iba ten článok a zopakujte pôvodný pokus: ten istý človek, to isté zariadenie, tá istá sieť, tá istá aplikácia. Testovací účet, ktorý sa pripája z administrátorskej VLAN, dokazuje, že brána žije, a nič nedokazuje o používateľovom utorkovom ráne. Požiadajte používateľa, aby vykonal akciu, ktorá zlyhala, a nie jednoduchšiu, pretože úspešný ping hovorí málo o odmietnutej zdieľanej zložke.

Zatvorte tiket tým, čo bolo vylúčené a čo sa zmenilo. Táto poznámka je rozdiel medzi jednorazovou záchranou a niečím, čo nasledujúci pohotovostný technik môže znova použiť.