Overenie VPN zlyhalo: málokedy je to port alebo DNS

Zlyhanie overenia znamená, že služba prijala identitu a odmietla ju, čo je užšie tvrdenie, než doň väčšina ľudí vkladá. Port je otvorený, relácia TLS sa možno dokončila a niečo v prihlasovacích údajoch alebo v účte bolo odmietnuté. Text chyby už pomenúva fázu, tak začnite tam.

Chyba vám už povedala, ktorá fáza zlyhala

Pripojenie, ktoré nikdy nedokončí TLS handshake, sa k overeniu vôbec nedostalo. Pripojenie, ktoré dokončí handshake a potom ohlási odmietnutie prihlasovacích údajov, sa k nemu dostalo a tam zlyhalo. Tieto dva výsledky si vyžadujú iné vyšetrovanie a často sa zamieňajú, pretože oba končia zatvoreným oknom.

OpenVPN robí rozdiel zrejmým správou AUTH_FAILED od servera, čo je rozhodnutie, nie transportná chyba. Časový limit vyjednávania TLS alebo chyba overenia certifikátu patria k skoršej fáze. Prečítajte si, ktorý z nich máte, skôr než sa dotknete prihlasovacích údajov, pretože reset hesla neopraví handshake a zmena firewallu neopraví odmietnuté prihlásenie. Jeden riadok klientskeho logu odpovedá na otázku.

Rovnaká logika platí pre reláciu, ktorá sa pripojí a neskôr spadne. Zlyhanie opätovného overenia v štyridsiatej minúte je iná porucha než odmietnutie pri prvom prihlásení a interval je stopa.

Potvrďte, že profil ukazuje na správnu službu

Účet používaný na webovej stránke poskytovateľa nie je vždy účet, ktorý prijíma jeho brána VPN. Uložený profil môže tiež ukazovať na starú bránu dlho po tom, čo sa služba presťahovala.

Porovnajte koncový bod v profile s tým, ktorý zverejnil prevádzkovateľ, a skontrolujte, ktorý systém identity brána používa. Reset hesla na webovom portáli nič nezmení, ak sa tunel overuje voči samostatnému adresáru. Prihlasovacie údaje k nesúvisiacemu verejnému serveru na vašom nebudú fungovať a testovanie pracovného hesla v profile získanom cez nedôveryhodnú správu je v každom prípade zlá výmena. Pred písaním čohokoľvek potvrďte pôvod.

Dve minúty nad profilom zabránia dňu hádania prihlasovacích údajov.

Formát prihlásenia je súčasťou prihlasovacích údajov

Používateľské meno môže vyžadovať formu e-mailu, predponu domény alebo príponu adresára. Brána porovnáva reťazec, ktorý prijala, takže forma je súčasťou prihlasovacích údajov, nie ozdoba.

Potom pred eskaláciou vylúčte nudné príčiny. Skontrolujte rozloženie klávesnice, prípadnú koncovú medzeru vloženú kopírovaním a starý záznam v správcovi hesiel. Po resete potvrďte, že VPN používa rovnaký zdroj identity ako stránka, kde sa heslo zmenilo. Ak sú tieto údaje správne, prestaňte hádať a opýtajte sa prevádzkovateľa, či je účet povolený a autorizovaný na prístup k VPN. To je oprava na strane služby, nie nastavenie klienta.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Riadok logu s AUTH_FAILED zvyčajne obsahuje kód dôvodu alebo reťazec výzvy. Skopírujte ho presne, namiesto aby ste ho pri žiadosti o pomoc preformulovali.

Druhé faktory majú vlastnú zmluvu

Profil môže očakávať jednorazový kód, interaktívnu výzvu alebo prihlásenie v prehliadači, ktoré klientovi vráti token. Použite tok, ktorý prevádzkovateľ podporuje, namiesto vymýšľania vlastného.

Nepripájajte kód k heslu, ak sa tento formát výslovne nevyžaduje, pretože niektoré nasadenia používajú samostatné pole a iné reťazec výzvy. Pri kódoch založených na čase skontrolujte hodiny zariadenia, keďže niekoľko minút odchýlky zneplatní každý kód. Ak sa prihlásenie v prehliadači podarí a klient sa nikdy neobnoví, poznamenajte si presne ten bod, pretože označuje odovzdanie, nie prihlasovacie údaje. Ďalší reset hesla pravdepodobne nepomôže.

Limit relácií je ďalšie časté odmietnutie. Ak účet povoľuje jednu reláciu, druhé prihlásenie môže ukončiť prvé a príznak vyzerá ako blikajúce spojenie, nie ako politika.

Certifikát nie je heslo

Klientsky certifikát môže vypršať alebo byť odvolaný, kým heslo účtu zostáva úplne správne. Heslová fráza súkromného kľúča je zas tretie tajomstvo a chráni súbor, nie účet.

Prečítajte si chybu, skôr než čokoľvek nahradíte, a potom získajte správnu náhradu od overeného prevádzkovateľa. Nechajte pri tom zapnuté overovanie identity servera: prijatie nesúvisiaceho certifikátu alebo kopírovanie cudzieho súkromného kľúča nie je oprava, ale druhý incident. Potom otestujte zdroj, ktorý skutočne potrebujete, pretože pripojený tunel s nedostupnou službou patrí k inému vyšetrovaniu. Zapíšte, ktorá fáza zlyhala, aby ďalší človek nezačínal celý proces znova.

Ak sa relácia nadviaže a neskôr zlyhá, zaznamenajte interval a prípadné blízke udalosti obnovy. Tento záznam oddeľuje problém životnosti tokenu od zlyhania prvého prihlásenia a je rozdielom medzi päťminútovou opravou a týždňom opakovaných pokusov.