VPN-autentisering misslyckades: det är sällan porten eller DNS

Att autentiseringen misslyckades betyder att tjänsten tog emot en identitet och avvisade den, vilket är ett snävare påstående än de flesta läser in i det. Porten är öppen, TLS-sessionen kan ha slutförts och något i inloggningsuppgifterna eller kontot avvisades. Feltexten namnger redan steget, så börja där.

Felet har redan sagt vilket steg som misslyckades

En anslutning som aldrig slutför sin TLS-handskakning har inte nått autentiseringen alls. En anslutning som slutför handskakningen och sedan rapporterar ett avvisande av inloggningsuppgifter har nått den och misslyckats där. Dessa två utfall kräver olika utredningar, och de förväxlas ofta eftersom båda slutar med ett stängt fönster.

OpenVPN gör skillnaden tydlig med ett AUTH_FAILED-meddelande från servern, vilket är ett beslut och inte ett transportfel. En tidsgräns i TLS-förhandlingen eller ett certifikatverifieringsfel hör till det tidigare steget. Läs vilket du har innan du rör inloggningsuppgifterna, för en lösenordsåterställning kan inte reparera en handskakning och en brandväggsändring kan inte reparera en avvisad inloggning. En rad i klientloggen svarar på frågan.

Samma logik gäller för en session som ansluter och sedan faller. Ett fel vid återautentisering på fyrtionde minuten är ett annat fel än ett avvisande vid första inloggningen, och intervallet är ledtråden.

Bekräfta att profilen pekar på rätt tjänst

Kontot som används på en leverantörs webbplats är inte alltid det konto som dess VPN-gateway accepterar. En sparad profil kan också peka på en gammal gateway långt efter att tjänsten har flyttat.

Jämför slutpunkten i profilen med den som operatören publicerade och kontrollera vilket identitetssystem gatewayen rådfrågar. En lösenordsåterställning i en webbportal ändrar ingenting om tunneln autentiserar mot en separat katalog. Inloggningsuppgifter för en orelaterad offentlig server fungerar inte på din, och att testa ett arbetslösenord i en profil som tagits emot via ett osäkert meddelande är ett dåligt byte oavsett. Bekräfta ursprunget innan du skriver något.

Två minuter på profilen förhindrar en dag av gissningar på inloggningsuppgifterna.

Inloggningsformatet är en del av inloggningsuppgifterna

Ett användarnamn kan kräva e-postform, ett domänprefix eller ett katalogsuffix. Gatewayen jämför strängen den tog emot, så formen är en del av inloggningsuppgifterna och inte utsmyckning.

Uteslut sedan de tråkiga orsakerna innan du eskalerar. Kontrollera tangentbordslayouten, eventuella avslutande mellanslag från en kopiering och en gammal post i lösenordshanteraren. Efter en återställning bekräftar du att VPN använder samma identitetskälla som sidan där lösenordet ändrades. Om dessa detaljer stämmer, sluta gissa och fråga operatören om kontot är aktiverat och auktoriserat för VPN-åtkomst. Det är en rättelse på tjänstsidan, inte en klientinställning.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Loggraden som bär AUTH_FAILED innehåller vanligtvis en orsakskod eller en utmaningssträng. Kopiera den exakt i stället för att återge den när du ber om hjälp.

Andra faktorer har sitt eget avtal

Profilen kan förvänta sig en engångskod, en interaktiv utmaning eller en webbläsarinloggning som lämnar tillbaka en token till klienten. Använd flödet som operatören stöder i stället för att hitta på ett.

Lägg inte till en kod i lösenordet om inte det formatet uttryckligen krävs, eftersom vissa installationer använder ett separat fält och andra en utmaningssträng. För tidsbaserade koder, kontrollera enhetens klocka, eftersom några minuters avvikelse gör varje kod ogiltig. Om webbläsarinloggningen lyckas och klienten aldrig återupptas, notera exakt den punkten, eftersom den identifierar överlämningen och inte inloggningsuppgifterna. Ännu en lösenordsåterställning hjälper förmodligen inte.

En sessionsgräns är det andra vanliga avvisandet. Om kontot tillåter en session kan en andra inloggning avsluta den första, och symtomet ser ut som en fladdrande anslutning snarare än en policy.

Ett certifikat är inte ett lösenord

Ett klientcertifikat kan löpa ut eller återkallas medan kontots lösenord förblir helt korrekt. En lösenfras för en privat nyckel är återigen en tredje hemlighet, och den skyddar en fil och inte ett konto.

Läs felet innan du ersätter något och skaffa sedan rätt ersättning från den verifierade operatören. Håll serveridentitetsverifieringen på medan du gör det: att acceptera ett orelaterat certifikat eller kopiera någon annans privata nyckel är inte en reparation, det är en ny incident. Testa sedan resursen du faktiskt behöver, eftersom en ansluten tunnel med en oåtkomlig tjänst hör till en annan utredning. Skriv ned vilket steg som misslyckades så att nästa person inte börjar om hela processen.

Om sessionen upprättas och misslyckas senare, registrera intervallet och eventuella närliggande förnyelsehändelser. Den registreringen skiljer ett problem med tokens livslängd från ett fel vid första inloggningen, och det är skillnaden mellan en femminutersrättelse och en vecka av nya försök.