Збій автентифікації VPN: рідко винні порт або DNS

Повідомлення про збій автентифікації означає, що служба отримала ідентичність і відхилила її, і це вужче твердження, ніж зазвичай із нього роблять. Порт відкритий, сеанс TLS цілком міг завершитися, а щось в облікових даних або в записі було відхилено. Текст помилки вже називає етап, тож почніть із нього.

Помилка вже сказала, на якому етапі стався збій

З'єднання, яке так і не завершує рукостискання TLS, узагалі не дійшло до автентифікації. З'єднання, яке завершує рукостискання і потім повідомляє про відхилення облікових даних, дійшло до неї і там не пройшло. Ці два результати потребують різних розслідувань, і їх часто плутають, бо обидва закінчуються закритим вікном.

OpenVPN робить різницю явною за допомогою повідомлення AUTH_FAILED від сервера, яке є рішенням, а не помилкою транспорту. Тайм-аут переговорів TLS або помилка перевірки сертифіката належать до попереднього етапу. Прочитайте, який із них у вас, перш ніж торкатися облікових даних, бо скидання пароля не виправить рукостискання, а зміна брандмауера не виправить відхилений вхід. Один рядок клієнтського журналу відповідає на питання.

Та сама логіка стосується сеансу, який підключається і потім обривається. Збій повторної автентифікації на сороковій хвилині — інша несправність, ніж відмова під час першого входу, і інтервал є підказкою.

Переконайтеся, що профіль указує на потрібну службу

Обліковий запис, який використовується на сайті провайдера, не завжди той, який приймає його шлюз VPN. Збережений профіль також може вказувати на старий шлюз задовго після того, як служба переїхала.

Порівняйте кінцеву точку в профілі з опублікованою оператором і перевірте, до якої системи ідентичності звертається шлюз. Скидання пароля на веб-порталі нічого не змінить, якщо тунель автентифікується за окремим каталогом. Облікові дані для стороннього публічного сервера не підійдуть для вашого, а перевірка робочого пароля в профілі, отриманому через недовірене повідомлення, у будь-якому разі поганий обмін. Підтвердьте походження, перш ніж щось вводити.

Дві хвилини над профілем запобігають дню вгадування облікових даних.

Формат входу є частиною облікових даних

Ім'я користувача може вимагати форми електронної пошти, префікса домену або суфікса каталогу. Шлюз порівнює отриманий рядок, тому форма є частиною облікових даних, а не оздобленням.

Потім виключіть нудні причини, перш ніж ескалувати. Перевірте розкладку клавіатури, будь-який кінцевий пробіл, внесений копіюванням, і старий запис у менеджері паролів. Після скидання переконайтеся, що VPN використовує те саме джерело ідентичності, що й сторінка, де змінили пароль. Якщо ці подробиці правильні, припиніть вгадувати й запитайте оператора, чи запис увімкнено й чи дозволено їй доступ до VPN. Це виправлення на боці служби, а не налаштування клієнта.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Рядок журналу з AUTH_FAILED зазвичай містить код причини або рядок виклику. Копіюйте його точно, а не переказуйте, коли просите допомоги.

Другі фактори мають свій договір

Профіль може очікувати одноразовий код, інтерактивний виклик або вхід через браузер, який повертає клієнту токен. Використовуйте потік, який підтримує оператор, а не вигадуйте свій.

Не додавайте код до пароля, якщо цей формат явно не вимагається, бо одні розгортання використовують окреме поле, а інші — рядок виклику. Для кодів, заснованих на часі, перевірте годинник пристрою, адже кілька хвилин розбіжності роблять кожен код недійсним. Якщо вхід через браузер успішний, а клієнт так і не продовжує, зафіксуйте саме цю точку, бо вона вказує на передачу, а не на облікові дані. Ще одне скидання пароля навряд чи допоможе.

Обмеження сеансів — інша часта відмова. Якщо запис допускає один сеанс, другий вхід може завершити перший, і симптом виглядає як мерехтливе з'єднання, а не як політика.

Сертифікат — не пароль

Клієнтський сертифікат може прострочити або бути відкликаним, поки пароль облікового запису залишається цілком правильним. Парольна фраза закритого ключа — знову третій секрет, і вона захищає файл, а не обліковий запис.

Прочитайте помилку, перш ніж щось замінювати, потім отримайте правильну заміну в перевіреного оператора. Залишайте перевірку ідентичності сервера ввімкненою, поки це робите: прийняти сторонній сертифікат або скопіювати чужий закритий ключ — не ремонт, а другий інцидент. Потім перевірте ресурс, який вам справді потрібен, бо підключений тунель із недоступною службою належить до іншого розслідування. Запишіть, на якому етапі стався збій, щоб наступна людина не починала весь процес заново.

Якщо сеанс встановлюється і згодом зазнає збою, зафіксуйте інтервал і найближчі події оновлення. Цей запис відокремлює проблему строку життя токена від збою під час першого входу, і це різниця між п'ятихвилинним виправленням і тижнем повторних спроб.