Один пристрій досі не підключається після скидання пароля VPN
Новий пароль працює всюди, крім одного клієнта. Знайдіть сховище, де ще зберігається старе значення, обмежте спроби та перевірте однією спробою.
Ви скинули пароль, перевірили його на порталі, а один ноутбук усе ще не підключається. Інстинкт каже скинути ще раз, і саме так обліковий запис блокується, а застарілий секрет стає інцидентом. Клієнт VPN рідко запитує пароль щоразу; він запитує один раз і зберігає відповідь десь, чого ви не обирали. Знайти це місце — уся робота, і це швидше за ще одне скидання.
Переконайтеся, що насправді надсилає кожен клієнт
Перш ніж вважати пароль проблемою, перевірте обліковий запис, домен і шлюз на клієнті, що не працює. Вхід на вебпортал може використовувати іншу систему ідентифікації, ніж сам VPN, тому успішний вхід на портал нічого не говорить про автентифікацію протоколу. Деякі розгортання приймають на порталі електронну пошту, а в тунелі — інше ім’я користувача. Підтвердьте, яку ідентичність клієнт налаштований подавати, перш ніж щось скидати.
Прочитайте текст помилки та класифікуйте його. Помилка сертифіката, прострочений виклик або непідтримуваний шифр — це не застарілий пароль, і якщо вважати це паролем, вийде цикл скидань без ефекту. Якщо в службі є політика блокування, зупиніться після двох або трьох невдалих спроб і підтвердьте стан облікового запису, перш ніж продовжити.
Перелічіть сховища замість здогадок
Чотири сховища містять секрет VPN, і таблиця нижче пов’язує кожне з них із тим, де значення виживає і що насправді означає його очищення. Власний профіль ОС тримає секрет у сховищі облікових даних платформи, тому запис може пережити застосунок, який його створив. Файл конфігурації клієнта тримає значення там, де цей клієнт його читає, — вбудованим або в указаному auth-файлі, тому правка іншого файлу нічого не змінює. Куки порталу в браузері та облікові дані, що доставляються політикою, живуть там, чим пристрій насправді не володіє, і це визначає, кому дозволено їх змінювати.
| Store | Where it lives | How to clear it |
|---|---|---|
| Native OS profile | Windows Credentials, NetworkManager secrets | forget or edit the connection |
| Client configuration file | a referenced auth file or inline value | edit the file the client actually reads |
| Browser session | cookie for the portal SSO | sign out of the portal, not just close the tab |
| Managed policy | delivered by the management service | change it in the manager, not on the device |
Перевіряйте їх у фіксованому порядку: спочатку сховище облікових даних ОС, бо клієнт звертається до нього за замовчуванням, потім власне сховище або файл конфігурації клієнта, потім сеанс браузера і нарешті політика, яка може перезаписати всі три. Порядок важливий, бо пізніше сховище може тихо відновити попереднє, і ви виправите не той рівень, поки збій триває. Запишіть, яке сховище ви змінили, бо ця нотатка робить наступне скидання двохвилинною роботою замість цілого дня.
Дивіться в сховище, яке клієнт справді використовує
Читайте перед видаленням, щоб знати, який запис належав VPN. Наведені нижче команди показують і перевіряють, а не видаляють, що зберігає діагностику оборотною.
# Windows credential store
cmdkey /list | findstr /i vpn# Windows native profile
Get-VpnConnection -Name "Work" | Select-Object -ExpandProperty Guid# macOS Keychain
security find-generic-password -s "Company VPN" -g# Linux NetworkManager
nmcli -s connection show "Work" | grep -i passwordУ Linux -s показує секрети, які NetworkManager інакше приховує. У macOS команда Keychain виводить збережений елемент, тому вважайте прокрутку термінала конфіденційною. Якщо клієнт, що не працює, — сторонній застосунок із власним сховищем, сховище ОС виглядатиме правильним, поки застосунок тримає власну копію, і саме в тому сховищі слід змінювати значення.
Займіться пристроями, які перебувають офлайн
Ноутбуки, які прокидаються й перепідключаються без нагляду продовжуватимуть подавати старий секрет, доки існує їхня копія. Сплануйте оновлення так, щоб ці пристрої були виправлені до того, як вони повторять спробу разом, і розгляньте вимкнення автопідключення в ураженому профілі, доки кожен не пройде підтримуваний сценарій.
Для керованого парку змінюйте значення там, де визначено політику. Правка локальної копії на пристрої, облікові дані якого надаються централізовано, у найкращому разі тимчасова; наступне оновлення політики поверне старе значення, і збій повториться без пояснення.
Перевірте однією контрольованою спробою
Оновіть потрібний запис, перепідключіться один раз і підтвердьте, що тунель досягає чогось конкретного. Одна контрольована спроба дає корисну помилку в разі невдачі, тоді як двадцять дають заблокований обліковий запис і загадку. Якщо клієнт досі не працює після виправлення сховища, зафіксуйте одну не секретну помилку й зупиніться. Зберігайте цю помилку разом з іменем пристрою, щоб наступна зміна починалася там, де ви закінчили.
Зміна пароля не зачіпає сертифікати, сеансові токени чи реєстрацію MFA, і це окремі ідентичності з власним життєвим циклом. Оновлений сертифікат не виправляється ротацією пароля, а токен, виданий до скидання, може бути ще дійсним. Наприкінці запишіть, яке сховище тримало застаріле значення, бо наступне скидання натрапить на той самий список.