En uporabnik se ne more prijaviti v VPN: urejena diagnostika

Ko se ena oseba ne more povezati, medtem ko preostanek ekipe nadaljuje z delom, koristno vprašanje ni, kaj je pokvarjeno, ampak kateri sloj se ni strinjal. Prijava je veriga: odjemalec se zažene, prehod odgovori, identiteta se zatrdi, drugi dejavnik se izpolni, politika se ovrednoti in šele nato teče promet. Prekinitev kjerkoli v tej verigi pride do vas kot isti stavek uporabnika, zato je prva naloga najti člen, ki je resnično odpovedal.

Obravnavajte poročilo kot izhodišče in ne kot diagnozo. Spodnje preveritve gredo od najcenejše, in vsaka je napisana tako, da preiskavo konča, ko spodleti.

Določite stopnjo in časovni žig

Preden se dotaknete katerekoli konfiguracije, zapišite štiri stvari: odjemalca in njegovo različico, natančno besedilo na zaslonu, minuto poskusa in omrežje, v katerem je bila oseba. Besedilo nosi resnično informacijo, ker so zavrnjene poverilnice, prehod, ki ne odgovori, in dokončana prijava, ki še vedno ne more odpreti notranje strani trije različni problemi s tremi različnimi lastniki. Bodite pozorni, ali je odjemalec ustvaril lokalno vrstico dnevnika, saj odjemalec, ki ni nikoli poslal paketa, nima česa dodati iskanju na strani strežnika. Z zabeleženim časovnim žigom vsaka poznejša poizvedba postane iskanje in ne lov.

Na tej točki prenehajte ugibati gesla. Kjer ima račun omejitev ponovnih poskusov, lahko val hitrih poskusov račun zaklene in doda drugo, umetno napako na resnično. Zapišite, koliko poskusov je bilo že izvedenih, da se zaklep pozneje ne zamenja z novim simptomom. Zaklenjen račun vam odvzame tudi zmožnost razlikovanja napačnega gesla od zavrnjene politike, saj oba prideta kot zavrnitev.

Preberite dogodek identitete za ta en poskus

Prosite skrbnika, naj izvleče zapis o preverjanju pristnosti, ki ustreza zabeleženi minuti. V namestitvi Windows NPS Microsoftov vodnik za odpravljanje težav z NPS dokumentira dogodek zavrnitve 6273 skupaj s spremljajočo kodo razloga, in to običajno loči neznanega uporabnika, slabe poverilnice, neskladje politike in klic, prekinjen iz nepovezanega razloga.

Prazen rezultat je tudi informacija. Če do storitve identitete ni prišlo nič, je poskus umrl prej: zastarel naslov prehoda v profilu, poslušalec, do katerega odjemalec ne more, ali gostitelj, umaknjen iz obratovanja, medtem ko je profil živel naprej. Če zapis obstaja in poroča o uspehu, poverilnice niso problem in razprava se premakne na avtorizacijo ali na usmerjanje za prehodom. Ta dva izida kažeta v nasprotni smeri, zato mora iskanje po dnevnikih potekati preden kdo znova namesti odjemalca.

Kodo razloga obdržite v zahtevku. To eno polje spremeni naslednji pojav v petminutno iskanje namesto ponovne preiskave. Povežite jo z različico odjemalca, ker je koda, ki se pojavi v eni gradnji, drugačen pogovor od tiste, ki se pojavi v vsaki gradnji.

Spremenite en pogoj naenkrat, znotraj politike

Skomin je, da bi v enem prehodu znova namestili odjemalca, ponastavili geslo in prenesli prenosnik v drugo omrežje. To včasih odpravi simptom in vedno uniči dokaze. Namesto tega izberite eno dovoljeno zamenjavo: ista oseba na drugi registrirani napravi ali odobrena preskusna identiteta na isti napravi. Vsaka zamenjava odgovori natanko na eno vprašanje, zato uspeh zoži napako na stran, ki ste jo spremenili, namesto da bi obtožili celoten VPN.

Za to primerjavo si ne izposojajte poverilnic sodelavca. Uporabite preskusno identiteto prek podprtega postopka in nikoli ne kopirajte ključa naprave niti ne preskočite registracije zato, ker bi bilo hitreje. Kjer politika zamenjavo popolnoma prepoveduje, je ta omejitev del preskušanega sistema in spada v zapis, ne v obvoz.

Potrdite popravilo na prvotni poti

Ko je prepoznan zlomljeni člen, popravite samo ta člen in ponovite prvotni poskus: ista oseba, ista naprava, isto omrežje, ista aplikacija. Preskusni račun, ki se poveže iz skrbniškega VLAN, dokazuje, da prehod živi, in ne dokazuje ničesar o uporabnikovem torkovem jutru. Prosite uporabnika, naj izvede dejanje, ki je spodletelo, in ne enostavnejšega, ker uspešen ping pove malo o zavrnjeni skupni rabi datotek.

Zaprite zahtevek s tem, kaj je bilo izključeno in kaj se je spremenilo. Ta zapis je razlika med enkratnim reševanjem in nečim, kar bo naslednji dežurni inženir lahko znova uporabil.