Аутентификација VPN-а није успела: ретко је крив порт или DNS

Порука да аутентификација није успела значи да је услуга примила идентитет и одбила га, што је ужа тврдња него што већина људи у њу учитава. Порт је отворен, TLS сесија је вероватно завршена, а нешто у акредитивима или налогу је одбијено. Текст грешке већ именује фазу, па почните одатле.

Грешка вам је већ рекла која фаза није успела

Веза која никада не заврши TLS руковање уопште није стигла до аутентификације. Веза која заврши руковање и затим пријави одбијање акредитива стигла је до ње и ту није успела. Та два исхода траже различите истраге и често се мешају јер оба завршавају затвореним прозором.

OpenVPN чини разлику експлицитном поруком AUTH_FAILED са сервера, која је одлука, а не транспортна грешка. Истек TLS преговора или грешка провере сертификата припада ранијој фази. Прочитајте која је ваша пре него што дирнете акредитиве, јер ресет лозинке не може поправити руковање, а промена заштитног зида не може поправити одбијену пријаву. Један ред клијентског дневника одговара на питање.

Иста логика важи за сесију која се повеже и касније падне. Неуспех поновне аутентификације у четрдесетој минути је другачији квар од одбијања при првој пријави, а интервал је траг.

Потврдите да профил показује на праву услугу

Налог који се користи на веб-сајту провајдера није увек налог који прихвата његов VPN пролаз. Сачувани профил може такође показивати на стари пролаз дуго након што се услуга преселила.

Упоредите крајњу тачку у профилу са оном коју је оператер објавио и проверите који систем идентитета пролаз консултује. Ресет лозинке на веб порталу не мења ништа ако се тунел аутентификује према засебном директоријуму. Акредитиви за неповезани јавни сервер неће радити на вашем, а тестирање пословне лозинке у профилу добијеном кроз непоуздану поруку је у сваком случају лоша размена. Потврдите порекло пре него што било шта упишете.

Два минута на профилу спречавају дан погађања акредитива.

Формат пријаве је део акредитива

Корисничко име може захтевати облик е-поште, префикс домена или суфикс директоријума. Пролаз пореди примљени низ, па је облик део акредитива, а не украс.

Затим искључите досадне узроке пре ескалације. Проверите распоред тастатуре, сваки завршни размак настао копирањем и стари унос у менаџеру лозинки. Након ресета потврдите да VPN користи исти извор идентитета као страница на којој је лозинка промењена. Ако су ти детаљи исправни, престаните да погађате и питајте оператера да ли је налог омогућен и овлашћен за VPN приступ. То је исправка на страни услуге, а не клијентска поставка.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Ред дневника који носи AUTH_FAILED обично садржи код разлога или низ изазова. Копирајте га тачно уместо да га препричавате када тражите помоћ.

Други фактори имају свој уговор

Профил може очекивати једнократни код, интерактивни изазов или пријаву преко прегледача која враћа токен клијенту. Користите ток који оператер подржава уместо да измишљате сопствени.

Не додајте код лозинци осим ако тај формат није изричито потребан, јер нека постављања користе засебно поље, а нека низ изазова. За кодове засноване на времену проверите сат уређаја, јер неколико минута одступања поништава сваки код. Ако пријава преко прегледача успе, а клијент се никада не настави, забележите управо ту тачку, јер она означава предају, а не акредитив. Још један ресет лозинке вероватно неће помоћи.

Ограничење сесија је друго често одбијање. Ако налог дозвољава једну сесију, друга пријава може прекинути прву, а симптом изгледа као лепршава веза, а не као политика.

Сертификат није лозинка

Клијентски сертификат може истећи или бити опозван док лозинка налога остаје потпуно исправна. Лозинка приватног кључа је опет трећа тајна и штити датотеку, а не налог.

Прочитајте грешку пре него што било шта замените, затим набавите исправну замену од потврђеног оператера. Држите проверу идентитета сервера укљученом док то радите: прихватање неповезаног сертификата или копирање туђег приватног кључа није поправка, то је други инцидент. Затим тестирајте ресурс који вам заиста треба, јер повезан тунел са недоступном услугом припада другој истрази. Запишите која фаза није успела да следећа особа не почиње цео процес испочетка.

Ако се сесија успостави и касније не успе, забележите интервал и све оближње догађаје обнове. Тај запис одваја проблем трајања токена од неуспеха прве пријаве и разлика је између поправке од пет минута и недеље поновних покушаја.