Një pajisje ende dështon pas rivendosjes së fjalëkalimit të VPN
Fjalëkalimi i ri funksionon kudo përveç një klienti. Gjeni depon që ende mban vlerën e vjetër, kufizoni provat dhe verifikoni me një provë.
Ju rivendosët fjalëkalimin, e provuat në portal, dhe një laptop ende nuk lidhet. Instinkti është ta rivendosësh përsëri, dhe kështu një llogari bllokohet dhe një sekret i vjetëruar bëhet incident. Një klient VPN rrallë kërkon fjalëkalim çdo herë; kërkon një herë dhe e ruan përgjigjen diku që nuk e keni zgjedhur. Gjetja e asaj vendi është i gjithë puna, dhe është më e shpejtë se një rivendosje tjetër.
Konfirmoni çfarë po dërgon në të vërtetë secili klient
Kontrolloni llogarinë, domenin dhe portën në klientin që dështon përpara se të supozoni se fjalëkalimi është problemi. Një hyrje në portalin web mund të përdorë një sistem identiteti të ndryshëm nga vetë VPN, kështu që një hyrje e suksesshme në portal nuk thotë asgjë për vërtetimin e protokollit. Disa vendosje pranojnë një email në portal dhe një emër përdoruesi tjetër në tunel. Konfirmoni cilën identitet klienti është konfiguruar të paraqesë përpara se të rivendosni çdo gjë.
Lexoni tekstin e gabimit dhe klasifikojeni. Një dështim certifikate, një sfidë e skaduar ose një shifër e pambështetur nuk është fjalëkalim i vjetëruar, dhe trajtimi si i tillë prodhon një cikël rivendosjesh pa efekt. Nëse shërbimi ka politikë bllokimi, ndaloni pas dy ose tre provave të dështuara dhe konfirmoni gjendjen e llogarisë përpara se të vazhdoni.
Numëroni depo në vend të hamendjes
Katër depo mbajnë një sekret VPN, dhe tabela më poshtë lidh secilën me vendin ku vlera mbijeton dhe çfarë do të thotë në të vërtetë pastrimi i saj. Një profil vendas i OS e mban sekretin në depon e kredencialeve të platformës, prandaj zëri mund t'i mbijetojë aplikacionit që e shkroi. Një skedar konfigurimi i klientit e mban vlerën atje ku ai klient e lexon, ose brenda ose në një skedar auth të referuar, kështu që redaktimi i një skedari tjetër nuk ndryshon asgjë. Një cookie e portalit në shfletues dhe një kredencial i dorëzuar nga politika jetojnë diku që pajisja në të vërtetë nuk e zotëron, dhe kjo vendos kush lejohet t'i ndryshojë.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Kontrollojini në një rend fiks: së pari depoja e kredencialeve të OS, sepse është ajo që klienti konsulton si parazgjedhje, pastaj kasaforta ose skedari i konfigurimit i klientit, pastaj sesioni i shfletuesit, dhe në fund politika që mund të mbivendosë të tre. Rendi ka rëndësi sepse një depo e mëvonshme mund të rikthejë në heshtje një të mëparshme, dhe ju do të keni rregulluar shtresën e gabuar ndërsa dështimi vazhdon. Shkruani cilën depo keni ndryshuar, sepse ai shënim e bën rivendosjen tjetër punë dy minutash në vend të një pasditeje.
Shikoni në depon që klienti përdor në të vërtetë
Lexoni përpara se të fshini, që të dini cili zë i përkiste VPN. Komandat më poshtë listojnë dhe inspektojnë në vend që të heqin, gjë që e mban diagnozën të kthyeshme.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordNë Linux, -s shfaq sekretet që NetworkManager i fsheh ndryshe. Në macOS komanda e Keychain shtyp artikullin e ruajtur, prandaj trajto historikun e terminalit si të ndjeshëm. Nëse klienti që dështon është një aplikacion i palës së tretë me kasafortë të vet, depoja e OS do të duket e saktë ndërsa aplikacioni mban kopjen e vet, dhe ajo kasafortë është vendi ku i takon ndryshimi.
Merruni me pajisjet që janë jashtë linje
Laptopët që zgjohen dhe rilidhen pa mbikëqyrje do të vazhdojnë të paraqesin sekretin e vjetër për sa kohë ekziston kopja e tyre. Planifikoni përditësimin në mënyrë që ato pajisje të korrigjohen përpara se të riprovojnë në një valë, dhe konsideroni çaktivizimin e lidhjes automatike në profilin e prekur derisa secila të ketë kaluar nëpër rrjedhën e mbështetur.
Për një flotë të menaxhuar, ndryshoni vlerën atje ku përcaktohet politika. Redaktimi i një kopje lokale në një pajisje kredenciali i së cilës sigurohet nga qendra është në rastin më të mirë i përkohshëm; rifreskimi tjetër i politikës riktheu vlerën e vjetër dhe dështimi kthehet pa shpjegim.
Verifikoni me një provë të kontrolluar
Përditësoni zërin e synuar, rilidhuni një herë dhe konfirmoni që tuneli arrin diçka specifike. Një provë e kontrolluar prodhon një gabim të përdorshëm nëse dështon, ndërsa njëzet prodhojnë një llogari të bllokuar dhe një mister. Nëse një klient ende dështon pasi depoja është korrigjuar, kapni një gabim të vetëm jo-sekret dhe ndaloni. Mbajeni atë gabim me emrin e pajisjes, që ndërrimi tjetër të fillojë atje ku mbaruat.
Një ndryshim fjalëkalimi nuk prek certifikatat, tokenat e sesionit ose regjistrimin MFA, dhe ato janë identitete të veçanta me ciklin e tyre të jetës. Një certifikatë e rinovuar nuk rregullohet duke rrotulluar një fjalëkalim, dhe një token i lëshuar përpara rivendosjes mund të jetë ende i vlefshëm. Përfundoni duke shkruar cilën depo mbante vlerën e vjetëruar, sepse rivendosja tjetër do të godasë të njëjtën listë.