อุปกรณ์หนึ่งยังเชื่อมต่อไม่ได้หลังรีเซ็ตรหัสผ่าน VPN
รหัสผ่านใหม่ใช้งานได้ทุกที่ยกเว้นไคลเอนต์หนึ่งเครื่อง ค้นหาที่เก็บที่ยังคงค่าเก่า จำกัดจำนวนครั้ง และตรวจสอบด้วยการลองเพียงครั้งเดียว
คุณรีเซ็ตรหัสผ่าน ทดสอบในพอร์ทัลแล้ว แต่แล็ปท็อปเครื่องหนึ่งยังเชื่อมต่อไม่ได้ ปฏิกิริยาแรกคือรีเซ็ตอีกครั้ง ซึ่งเป็นวิธีที่ทำให้บัญชีถูกล็อกและความลับที่ค้างอยู่กลายเป็นเหตุการณ์ ไคลเอนต์ VPN แทบไม่เคยถามรหัสผ่านทุกครั้ง มันถามครั้งเดียวแล้วเก็บคำตอบไว้ที่ที่คุณไม่ได้เลือก การหาสถานที่นั้นคือทั้งหมดของงาน และเร็วกว่าการรีเซ็ตอีกครั้ง
ยืนยันว่าแต่ละไคลเอนต์ส่งอะไรจริง ๆ
ตรวจสอบบัญชี โดเมน และเกตเวย์บนไคลเอนต์ที่ล้มเหลวก่อนสันนิษฐานว่ารหัสผ่านคือปัญหา การเข้าสู่ระบบพอร์ทัลเว็บอาจใช้ระบบระบุตัวตนต่างจาก VPN เอง ดังนั้นการเข้าสู่ระบบพอร์ทัลที่สำเร็จไม่ได้บอกอะไรเกี่ยวกับการพิสูจน์ตัวตนของโปรโตคอล การติดตั้งบางแบบยอมรับอีเมลที่พอร์ทัลและชื่อผู้ใช้ที่ต่างกันในอุโมงค์ ยืนยันว่าไคลเอนต์ถูกกำหนดให้แสดงตัวตนใดก่อนรีเซ็ตสิ่งใด
อ่านข้อความข้อผิดพลาดและจำแนกประเภท ความล้มเหลวของใบรับรอง การท้าทายที่หมดอายุ หรือรหัสลับที่ไม่รองรับไม่ใช่รหัสผ่านที่ค้างอยู่ และการปฏิบัติต่อมันเช่นนั้นจะสร้างวงจรรีเซ็ตที่ไม่เกิดผล หากบริการมีนโยบายล็อก ให้หยุดหลังพยายามล้มเหลวสองหรือสามครั้งและยืนยันสถานะบัญชีก่อนดำเนินการต่อ
แจกแจงที่เก็บแทนการเดา
ที่เก็บสี่แห่งเก็บความลับ VPN และตารางด้านล่างจับคู่แต่ละแห่งกับตำแหน่งที่ค่ายังอยู่รอดและความหมายที่แท้จริงของการล้างมัน โปรไฟล์ OS แบบเนทีฟเก็บความลับไว้ในที่เก็บข้อมูลรับรองของแพลตฟอร์ม ซึ่งเป็นเหตุให้รายการอยู่ได้นานกว่าแอปพลิเคชันที่เขียนมัน ไฟล์กำหนดค่าไคลเอนต์เก็บค่าไว้ที่ที่ไคลเอนต์นั้นอ่าน ไม่ว่าจะฝังในไฟล์หรือในไฟล์ auth ที่อ้างอิง ดังนั้นการแก้ไฟล์อื่นจึงไม่เปลี่ยนอะไร คุกกี้พอร์ทัลในเบราว์เซอร์และข้อมูลรับรองที่ส่งโดยนโยบายอาศัยอยู่ที่ที่อุปกรณ์ไม่ได้เป็นเจ้าของจริง ซึ่งกำหนดว่าใครได้รับอนุญาตให้เปลี่ยน
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
ตรวจสอบตามลำดับคงที่ ที่เก็บข้อมูลรับรองของ OS ก่อน เพราะเป็นที่ที่ไคลเอนต์สอบถามโดยค่าเริ่มต้น จากนั้นตู้เซฟหรือไฟล์กำหนดค่าของไคลเอนต์เอง จากนั้นเซสชันเบราว์เซอร์ และสุดท้ายนโยบายที่เขียนทับทั้งสามได้ ลำดับมีความสำคัญเพราะที่เก็บภายหลังอาจคืนค่าที่เก็บก่อนหน้าโดยไม่ส่งเสียง และคุณจะแก้ผิดชั้นขณะที่ความล้มเหลวยังคงอยู่ จดบันทึกว่าคุณเปลี่ยนที่เก็บใด เพราะบันทึกนั้นทำให้การรีเซ็ตครั้งต่อไปเป็นงานสองนาทีแทนที่จะเป็นเวลาบ่ายทั้งบ่าย
ดูในที่เก็บที่ไคลเอนต์ใช้จริง
อ่านก่อนลบ เพื่อให้รู้ว่ารายการใดเป็นของ VPN คำสั่งด้านล่างแสดงรายการและตรวจสอบแทนการลบ ซึ่งทำให้การวินิจฉัยย้อนกลับได้
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordบน Linux -s แสดงความลับที่ NetworkManager ซ่อนไว้เป็นอย่างอื่น บน macOS คำสั่ง Keychain พิมพ์รายการที่เก็บไว้ ดังนั้นถือประวัติเทอร์มินัลเป็นข้อมูลอ่อนไหว หากไคลเอนต์ที่ล้มเหลวเป็นแอปของบุคคลที่สามที่มีตู้เซฟของตัวเอง ที่เก็บของ OS จะดูถูกต้องในขณะที่แอปเก็บสำเนาของตัวเอง และตู้เซฟนั้นคือที่ที่การเปลี่ยนแปลงควรอยู่
จัดการอุปกรณ์ที่ออฟไลน์
แล็ปท็อปที่ตื่นและเชื่อมต่อใหม่โดยไม่มีผู้ดูแล จะยังคงแสดงความลับเก่าตราบเท่าที่สำเนาของมันยังอยู่ วางแผนการอัปเดตเพื่อให้อุปกรณ์เหล่านั้นได้รับการแก้ไขก่อนที่มันจะลองใหม่พร้อมกัน และพิจารณาปิดการเชื่อมต่ออัตโนมัติในโปรไฟล์ที่ได้รับผลกระทบจนกว่าแต่ละเครื่องจะผ่านขั้นตอนที่รองรับ
สำหรับอุปกรณ์ที่จัดการแบบรวมศูนย์ ให้เปลี่ยนค่าที่ที่กำหนดนโยบาย การแก้สำเนาโลคัลบนอุปกรณ์ที่ข้อมูลรับรองถูกจัดสรรจากส่วนกลางอย่างดีที่สุดก็เป็นเพียงชั่วคราว การรีเฟรชนโยบายครั้งถัดไปจะคืนค่าเก่าและความล้มเหลวจะกลับมาโดยไม่มีคำอธิบาย
ตรวจสอบด้วยความพยายามควบคุมหนึ่งครั้ง
อัปเดตรายการที่ต้องการ เชื่อมต่อใหม่หนึ่งครั้ง และยืนยันว่าอุโมงค์เข้าถึงสิ่งที่เฉพาะเจาะจง การพยายามควบคุมหนึ่งครั้งสร้างข้อผิดพลาดที่ใช้งานได้หากล้มเหลว ในขณะที่ยี่สิบครั้งสร้างบัญชีที่ถูกล็อกและความลึกลับ หากไคลเอนต์ยังล้มเหลวหลังแก้ที่เก็บแล้ว ให้บันทึกข้อผิดพลาดที่ไม่ใช่ความลับหนึ่งรายการและหยุด เก็บข้อผิดพลาดนั้นพร้อมชื่ออุปกรณ์เพื่อให้กะถัดไปเริ่มจากที่ที่คุณจบ
การเปลี่ยนรหัสผ่านไม่แตะต้องใบรับรอง โทเคนเซสชัน หรือการลงทะเบียน MFA และสิ่งเหล่านั้นเป็นตัวตนแยกที่มีวงจรชีวิตของตัวเอง ใบรับรองที่ต่ออายุแล้วไม่ได้รับการแก้ไขด้วยการหมุนรหัสผ่าน และโทเคนที่ออกก่อนรีเซ็ตอาจยังใช้ได้ จบด้วยการจดบันทึกว่าที่เก็บใดเก็บค่าเก่าไว้ เพราะการรีเซ็ตครั้งถัดไปจะเจอรายการเดียวกัน