การยืนยันตัวตน VPN ล้มเหลว: พอร์ตหรือ DNS ไม่ค่อยเป็นสาเหตุ

การยืนยันตัวตนล้มเหลวหมายความว่าบริการได้รับตัวตนและปฏิเสธตัวตนนั้น ซึ่งเป็นข้อความที่แคบกว่าที่คนส่วนใหญ่ตีความ พอร์ตเปิดอยู่ เซสชัน TLS อาจเสร็จสมบูรณ์แล้ว และมีบางอย่างในข้อมูลรับรองหรือบัญชีถูกปฏิเสธ การเปลี่ยนการตั้งค่าเครือข่ายแก้ไขไม่ได้ และการลองซ้ำอาจล็อกบัญชี ข้อความข้อผิดพลาดระบุขั้นตอนอยู่แล้ว จึงเริ่มจากตรงนั้น

ข้อผิดพลาดบอกแล้วว่าขั้นตอนใดล้มเหลว

การเชื่อมต่อที่ไม่เคยจับมือ TLS ให้เสร็จไม่เคยไปถึงการยืนยันตัวตนเลย. การเชื่อมต่อที่จับมือเสร็จแล้วรายงานการปฏิเสธข้อมูลรับรองได้ไปถึงและล้มเหลวตรงนั้น ผลลัพธ์สองอย่างนี้ต้องสอบสวนต่างกัน และมักสับสนเพราะทั้งคู่จบลงด้วยหน้าต่างที่ปิดไป

OpenVPN ทำให้ความแตกต่างชัดเจนด้วยข้อความ AUTH_FAILED จากเซิร์ฟเวอร์ ซึ่งเป็นการตัดสินใจไม่ใช่ข้อผิดพลาดในการรับส่ง การหมดเวลาของการเจรจา TLS หรือข้อผิดพลาดในการตรวจสอบใบรับรองอยู่ในขั้นตอนก่อนหน้า อ่านว่าคุณมีแบบไหนก่อนแตะข้อมูลรับรอง เพราะการรีเซ็ตรหัสผ่านซ่อมแฮนด์เชกไม่ได้ และการเปลี่ยนไฟร์วอลล์ซ่อมการเข้าสู่ระบบที่ถูกปฏิเสธไม่ได้ หนึ่งบรรทัดในบันทึกของไคลเอนต์ตอบคำถามนี้

ตรรกะเดียวกันใช้กับเซสชันที่เชื่อมต่อแล้วหลุดภายหลัง ความล้มเหลวในการยืนยันตัวตนซ้ำที่นาทีที่สี่สิบเป็นข้อบกพร่องต่างจากการถูกปฏิเสธในการเข้าสู่ระบบครั้งแรก และช่วงเวลาคือเบาะแส

ยืนยันว่าโปรไฟล์ชี้ไปที่บริการที่ถูกต้อง

บัญชีที่ใช้บนเว็บไซต์ของผู้ให้บริการไม่ใช่บัญชีที่เกตเวย์ VPN ของเขายอมรับเสมอไป โปรไฟล์ที่บันทึกไว้อาจชี้ไปที่เกตเวย์เก่านานหลังจากบริการย้ายไปแล้ว

เปรียบเทียบปลายทางในโปรไฟล์กับที่ผู้ให้บริการเผยแพร่ และตรวจสอบว่าเกตเวย์ปรึกษาระบบตัวตนใด การรีเซ็ตรหัสผ่านบนพอร์ทัลเว็บไม่เปลี่ยนอะไรหากอุโมงค์ยืนยันตัวตนกับไดเรกทอรีแยก ข้อมูลรับรองของเซิร์ฟเวอร์สาธารณะที่ไม่เกี่ยวข้องจะไม่ทำงานบนเซิร์ฟเวอร์ของคุณ และการทดสอบรหัสผ่านทำงานในโปรไฟล์ที่ได้รับผ่านข้อความที่ไม่น่าเชื่อถือก็เป็นการแลกเปลี่ยนที่ไม่ดีในทุกกรณี ยืนยันแหล่งที่มาก่อนพิมพ์อะไรก็ตาม

สองนาทีบนโปรไฟล์ป้องกันการเดาข้อมูลรับรองหนึ่งวัน

รูปแบบการเข้าสู่ระบบเป็นส่วนหนึ่งของข้อมูลรับรอง

ชื่อผู้ใช้อาจต้องมีรูปแบบอีเมล คำนำหน้าโดเมน หรือคำต่อท้ายไดเรกทอรี เกตเวย์เปรียบเทียบสตริงที่ได้รับ ดังนั้นรูปแบบจึงเป็นส่วนหนึ่งของข้อมูลรับรองไม่ใช่การประดับ

จากนั้นตัดสาเหตุที่น่าเบื่อออกก่อนยกระดับ ตรวจสอบผังแป้นพิมพ์ ช่องว่างท้ายที่เกิดจากการคัดลอก และรายการเก่าในตัวจัดการรหัสผ่าน หลังจากรีเซ็ต ให้ยืนยันว่า VPN ใช้แหล่งตัวตนเดียวกับหน้าที่เปลี่ยนรหัสผ่าน หากรายละเอียดเหล่านี้ถูกต้อง ให้หยุดเดาและถามผู้ให้บริการว่าบัญชีเปิดใช้งานและได้รับอนุญาตให้เข้าถึง VPN หรือไม่ นั่นคือการแก้ไขฝั่งบริการ ไม่ใช่การตั้งค่าไคลเอนต์

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

บรรทัดบันทึกที่นำ AUTH_FAILED มักมีรหัสเหตุผลหรือสตริงท้าทาย คัดลอกให้ถูกต้องแทนการถอดความเมื่อขอความช่วยเหลือ

ปัจจัยที่สองมีสัญญาของตัวเอง

โปรไฟล์อาจคาดหวังรหัสใช้ครั้งเดียว การท้าทายแบบโต้ตอบ หรือการเข้าสู่ระบบผ่านเบราว์เซอร์ที่คืนโทเคนให้ไคลเอนต์ ใช้โฟลว์ที่ผู้ให้บริการรองรับแทนการคิดค้นขึ้นเอง

อย่าเพิ่มรหัสต่อท้ายรหัสผ่านเว้นแต่รูปแบบนั้นถูกกำหนดอย่างชัดเจน เพราะการติดตั้งบางแบบใช้ช่องแยกและบางแบบใช้สตริงท้าทาย สำหรับรหัสตามเวลา ให้ตรวจสอบนาฬิกาของอุปกรณ์ เพราะคลาดเคลื่อนไม่กี่นาทีก็ทำให้ทุกรหัสใช้ไม่ได้ หากการเข้าสู่ระบบผ่านเบราว์เซอร์สำเร็จและไคลเอนต์ไม่กลับมาทำงานต่อ ให้บันทึกจุดนั้นไว้อย่างแม่นยำ เพราะมันระบุการส่งต่อไม่ใช่ข้อมูลรับรอง การรีเซ็ตรหัสผ่านอีกครั้งไม่น่าจะช่วยได้

ขีดจำกัดเซสชันคือการปฏิเสธที่พบได้บ่อยอีกอย่าง หากบัญชีอนุญาตหนึ่งเซสชัน การเข้าสู่ระบบครั้งที่สองอาจยุติครั้งแรก และอาการดูเหมือนการเชื่อมต่อที่กระตุกไม่ใช่นโยบาย

ใบรับรองไม่ใช่รหัสผ่าน

ใบรับรองไคลเอนต์อาจหมดอายุหรือถูกเพิกถอนในขณะที่รหัสผ่านบัญชียังถูกต้องสมบูรณ์ วลีผ่านของคีย์ส่วนตัวเป็นความลับที่สามอีกครั้ง และมันปกป้องไฟล์ไม่ใช่บัญชี

อ่านข้อผิดพลาดก่อนแทนที่อะไร จากนั้นขอสิ่งที่ถูกต้องจากผู้ให้บริการที่ยืนยันแล้ว เปิดการตรวจสอบตัวตนเซิร์ฟเวอร์ไว้ขณะทำเช่นนั้น: การยอมรับใบรับรองที่ไม่เกี่ยวข้องหรือคัดลอกคีย์ส่วนตัวของคนอื่นไม่ใช่การซ่อม แต่เป็นเหตุการณ์ที่สอง จากนั้นทดสอบทรัพยากรที่คุณต้องการจริง ๆ เพราะอุโมงค์ที่เชื่อมต่อกับบริการที่เข้าถึงไม่ได้เป็นของการสอบสวนอื่น บันทึกว่าขั้นตอนใดล้มเหลวเพื่อให้คนถัดไปไม่เริ่มกระบวนการทั้งหมดใหม่

หากเซสชันถูกสร้างและล้มเหลวภายหลัง ให้บันทึกช่วงเวลาและเหตุการณ์ต่ออายุที่อยู่ใกล้เคียง บันทึกนั้นแยกปัญหาอายุการใช้งานของโทเคนออกจากความล้มเหลวในการเข้าสู่ระบบครั้งแรก และนั่นคือความต่างระหว่างการแก้ไขห้านาทีกับการลองใหม่ทั้งสัปดาห์