Један уређај и даље не успева након ресетовања VPN лозинке
Нова лозинка ради свуда осим на једном клијенту. Пронађите складиште које још држи стару вредност, ограничите покушаје и проверите једним покушајем.
Ресетовали сте лозинку, тестирали је на порталу, а један лаптоп и даље не може да се повеже. Инстинкт је да је ресетујете поново, и тако се налог закључава, а застарела тајна постаје инцидент. VPN клијент ретко тражи лозинку сваки пут; тражи је једном и чува одговор негде што нисте изабрали. Проналажење тог места је цео посао и бржа је од још једног ресетовања.
Потврдите шта сваки клијент заиста шаље
Проверите налог, домен и гејтвеј на клијенту који не успева пре него што претпоставите да је лозинка проблем. Пријава на веб портал може користити другачији систем идентитета од самог VPN-а, па успешна пријава на порталу не говори ништа о аутентификацији протокола. Нека постављања прихватају имејл на порталу и другачије корисничко име у тунелу. Потврдите који идентитет је клијент конфигурисан да представи пре него што било шта ресетујете.
Прочитајте текст грешке и класификујте га. Грешка сертификата, истекао изазов или неподржана шифра није застарела лозинка, а третирање као такве прави петљу ресетовања без ефекта. Ако сервис има политику закључавања, зауставите се после два или три неуспешна покушаја и потврдите стање налога пре него што наставите.
Попишите складишта уместо да нагађате
Четири складишта држе VPN тајну, а табела испод повезује свако од њих са тим где вредност преживљава и шта њено брисање заиста значи. Изворни OS профил држи тајну у складишту акредитива платформе, због чега унос може надживети апликацију која га је уписала. Конфигурациона датотека клијента држи вредност тамо где је тај клијент чита, било уметнуту или у наведеној auth датотеци, па уређивање друге датотеке ништа не мења. Колачић портала у прегледачу и акредитив који испоручује политика живе негде што уређај заиста не поседује, и то одлучује ко сме да их мења.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Проверавајте их у фиксном редоследу: прво складиште акредитива OS-а, јер га клијент подразумевано консултује, затим сопствени сеф или конфигурациону датотеку клијента, затим сесију прегледача и на крају политику која може да препише сва три. Редослед је важан јер касније складиште може тихо да врати раније, па ћете поправити погрешан слој док квар траје. Запишите које сте складиште променили, јер та белешка чини следеће ресетовање двоминутним послом уместо целог поподнева.
Гледајте у складиште које клијент заиста користи
Читајте пре него што обришете, да бисте знали који је унос припадао VPN-у. Команде испод приказују и прегледају уместо да уклањају, што дијагнозу одржава реверзибилном.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordНа Linux-у, -s приказује тајне које NetworkManager иначе скрива. На macOS-у команда Keychain исписује сачувану ставку, па третирајте историју терминала као осетљиву. Ако је клијент који не успева апликација треће стране са сопственим сефом, складиште OS-а ће изгледати исправно док апликација држи сопствену копију, и у том сефу треба извршити промену.
Позабавите се уређајима који су ван мреже
Лаптопови који се пробуде и поново повежу без надзора ће наставити да представљају стару тајну докле год њихова копија постоји. Планирајте ажурирање тако да ти уређаји буду исправљени пре него што поново покушају у налету, и размотрите искључивање аутоматског повезивања на погођеном профилу док сваки не прође кроз подржани ток.
За управљану флоту промените вредност тамо где је политика дефинисана. Уређивање локалне копије на уређају чији се акредитив обезбеђује централно у најбољем је случају привремено; следеће освежавање политике враћа стару вредност и квар се враћа без објашњења.
Проверите једним контролисаним покушајем
Ажурирајте жељени унос, поново се повежите једном и потврдите да тунел доспева до нечег конкретног. Један контролисани покушај даје употребљиву грешку ако не успе, док двадесет даје закључан налог и мистерију. Ако клијент и даље не успева после исправке складишта, забележите једну грешку која није тајна и зауставите се. Сачувајте ту грешку уз име уређаја, да следећа смена почне тамо где сте ви завршили.
Промена лозинке не дира сертификате, сесијске токене ни MFA регистрацију, а то су одвојени идентитети са сопственим животним циклусом. Обновљени сертификат се не поправља ротирањем лозинке, а токен издат пре ресетовања може и даље бити важећи. Завршите тако што ћете записати које је складиште држало застарелу вредност, јер ће следеће ресетовање ударити на исту листу.