Nabigo ang pagpapatotoo sa VPN: bihira ang port o ang DNS ang dahilan

Ang nabigo ang pagpapatotoo ay nangangahulugang tumanggap ang serbisyo ng pagkakakilanlan at tinanggihan ito, isang pahayag na mas makitid kaysa inaakala ng karamihan. Bukas ang port, maaaring natapos na ang TLS session, at may tinanggihan sa mga kredensyal o sa account. Pinapangalanan na ng teksto ng error ang yugto, kaya doon magsimula.

Sinabi na ng error kung aling yugto ang nabigo

Ang koneksyong hindi kailanman natatapos ang TLS handshake nito ay hindi pa nakarating sa pagpapatotoo. Ang koneksyong natatapos ang handshake at pagkatapos ay nag-uulat ng pagtanggi sa kredensyal ay nakarating doon at doon nabigo. Ang dalawang resultang ito ay nangangailangan ng magkaibang pagsisiyasat, at madalas silang napagkakamalan dahil parehong nagtatapos sa saradong window.

OpenVPN ginagawang malinaw ang pagkakaiba sa pamamagitan ng AUTH_FAILED na mensahe mula sa server, na isang desisyon at hindi error sa transportasyon. Ang timeout ng TLS negotiation o error sa pag-verify ng sertipiko ay kabilang sa naunang yugto. Basahin kung alin ang mayroon ka bago hawakan ang mga kredensyal, dahil hindi kayang ayusin ng pag-reset ng password ang handshake at hindi kayang ayusin ng pagbabago sa firewall ang tinanggihang pag-login. Isang linya ng client log ang sumasagot sa tanong.

Ganito rin ang lohika para sa session na kumokonekta at pagkatapos ay bumabagsak. Ang pagkabigo sa muling pagpapatotoo sa ikaapatnapung minuto ay ibang depekto kaysa pagtanggi sa unang pag-login, at ang agwat ang palatandaan.

Tiyakin na ang profile ay tumuturo sa tamang serbisyo

Ang account na ginagamit sa website ng isang provider ay hindi laging ang account na tinatanggap ng VPN gateway nito. Ang naka-save na profile ay maaari ring tumuro sa lumang gateway matagal matapos lumipat ang serbisyo.

Ihambing ang endpoint sa profile sa inilathala ng operator, at suriin kung aling sistema ng pagkakakilanlan ang kinokonsulta ng gateway. Walang binabago ang pag-reset ng password sa web portal kung ang tunnel ay nagpapatotoo laban sa hiwalay na direktoryo. Ang mga kredensyal para sa walang kaugnayang pampublikong server ay hindi gagana sa iyo, at ang pagsubok ng work password sa isang profile na natanggap sa hindi mapagkakatiwalaang mensahe ay masamang palitan sa anumang kaso. Tiyakin ang pinagmulan bago mag-type ng kahit ano.

Ang dalawang minuto sa profile ay pumipigil sa isang araw ng paghula sa mga kredensyal.

Ang anyo ng pag-login ay bahagi ng mga kredensyal

Ang username ay maaaring mangailangan ng anyong email, prefix ng domain o suffix ng direktoryo. Inihahambing ng gateway ang string na natanggap nito, kaya ang anyo ay bahagi ng mga kredensyal at hindi palamuti.

Pagkatapos ay alisin ang mga boring na dahilan bago mag-escalate. Suriin ang layout ng keyboard, anumang trailing space na naipasok ng pagkopya, at lumang entry sa password manager. Pagkatapos ng reset, tiyakin na ang VPN ay gumagamit ng parehong pinagmumulan ng pagkakakilanlan gaya ng pahina kung saan binago ang password. Kung tama ang mga detalyeng ito, tumigil sa paghula at tanungin ang operator kung ang account ay pinagana at pinahintulutan para sa VPN access. Iyon ay pagwawasto sa panig ng serbisyo, hindi setting ng client.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Ang log line na nagdadala ng AUTH_FAILED ay karaniwang may kasamang reason code o challenge string. Kopyahin ito nang eksakto sa halip na i-paraphrase kapag humihingi ng tulong.

Ang ikalawang salik ay may sariling kontrata

Maaaring umasa ang profile sa isang beses na gamit na code, interactive na hamon, o browser sign-in na nagbabalik ng token sa client. Gamitin ang daloy na sinusuportahan ng operator sa halip na mag-imbento ng isa.

Huwag magdagdag ng code sa password maliban kung tahasang kinakailangan ang anyong iyon, dahil may deployment na gumagamit ng hiwalay na field at may gumagamit ng challenge string. Para sa mga code na nakabatay sa oras, suriin ang orasan ng device, dahil ang ilang minutong paglihis ay nagpapawalang-bisa sa bawat code. Kung nagtagumpay ang browser login at hindi kailanman nagpatuloy ang client, itala ang eksaktong puntong iyon, dahil tinutukoy nito ang paghahatid at hindi ang kredensyal. Malamang na hindi makatutulong ang isa pang pag-reset ng password.

Ang limitasyon sa session ang isa pang karaniwang pagtanggi. Kung pinapayagan ng account ang isang session, maaaring tapusin ng ikalawang login ang una, at ang sintomas ay mukhang nanginginig na koneksyon at hindi patakaran.

Ang sertipiko ay hindi password

Maaaring mag-expire o ma-revoke ang client certificate habang nananatiling ganap na tama ang password ng account. Ang passphrase ng private key ay ikatlong lihim na naman, at pinoprotektahan nito ang isang file at hindi isang account.

Basahin ang error bago palitan ang kahit ano, pagkatapos ay kunin ang tamang kapalit mula sa beripikadong operator. Panatilihing nakabukas ang pag-verify ng pagkakakilanlan ng server habang ginagawa ito: ang pagtanggap ng walang kaugnayang sertipiko o pagkopya ng private key ng iba ay hindi pagkukumpuni, ito ay ikalawang insidente. Pagkatapos ay subukan ang resource na talagang kailangan mo, dahil ang konektadong tunnel na may hindi maabot na serbisyo ay kabilang sa ibang pagsisiyasat. Isulat kung aling yugto ang nabigo upang hindi simulan muli ng susunod na tao ang buong proseso.

Kung maitatag ang session at mabibigo mamaya, itala ang agwat at anumang kalapit na kaganapan sa pag-renew. Ang talaang iyon ay naghihiwalay ng problema sa haba ng buhay ng token mula sa pagkabigo sa unang pag-login, at iyon ang pagkakaiba ng limang minutong pagwawasto at isang linggong muling pagsubok.