Xác thực VPN thất bại: hiếm khi là do cổng hay DNS

Xác thực thất bại nghĩa là dịch vụ đã nhận một danh tính và từ chối nó, một khẳng định hẹp hơn nhiều người vẫn hiểu. Cổng đang mở, phiên TLS có thể đã hoàn tất, và một điều gì đó trong thông tin đăng nhập hoặc tài khoản đã bị từ chối. Văn bản lỗi đã nêu rõ giai đoạn, vì vậy hãy bắt đầu từ đó.

Lỗi đã cho bạn biết giai đoạn nào thất bại

Kết nối không bao giờ hoàn tất bắt tay TLS thì hoàn toàn chưa tới bước xác thực. Kết nối hoàn tất bắt tay rồi báo từ chối thông tin đăng nhập đã tới đó và thất bại tại đó. Hai kết quả này cần những cuộc điều tra khác nhau, và chúng thường bị nhầm lẫn vì cả hai đều kết thúc bằng một cửa sổ đóng lại.

OpenVPN làm rõ sự khác biệt bằng thông báo AUTH_FAILED từ máy chủ, đó là một quyết định chứ không phải lỗi truyền tải. Hết thời gian thương lượng TLS hay lỗi xác minh chứng chỉ thuộc giai đoạn trước đó. Hãy đọc xem bạn đang gặp loại nào trước khi chạm vào thông tin đăng nhập, vì đặt lại mật khẩu không thể sửa một cuộc bắt tay và thay đổi tường lửa không thể sửa một lần đăng nhập bị từ chối. Một dòng trong nhật ký máy khách trả lời câu hỏi đó.

Cùng logic đó áp dụng cho một phiên kết nối rồi rớt sau đó. Lỗi xác thực lại ở phút thứ bốn mươi là một khiếm khuyết khác với việc bị từ chối ở lần đăng nhập đầu, và khoảng thời gian chính là manh mối.

Xác nhận hồ sơ trỏ tới đúng dịch vụ

Tài khoản dùng trên trang web của nhà cung cấp không phải lúc nào cũng là tài khoản mà cổng VPN của họ chấp nhận. Một hồ sơ đã lưu cũng có thể trỏ tới cổng cũ rất lâu sau khi dịch vụ đã chuyển đi.

So sánh điểm cuối trong hồ sơ với điểm cuối mà nhà điều hành đã công bố, và kiểm tra xem cổng tham chiếu hệ thống danh tính nào. Đặt lại mật khẩu trên cổng web không thay đổi gì nếu đường hầm xác thực với một thư mục riêng. Thông tin đăng nhập của một máy chủ công cộng không liên quan sẽ không hoạt động trên máy chủ của bạn, và việc thử mật khẩu công việc trong một hồ sơ nhận được qua tin nhắn không đáng tin là một sự đánh đổi tồi trong mọi trường hợp. Xác nhận nguồn gốc trước khi gõ bất cứ điều gì.

Hai phút trên hồ sơ ngăn được một ngày đoán thông tin đăng nhập.

Định dạng đăng nhập là một phần của thông tin đăng nhập

Tên người dùng có thể cần dạng email, tiền tố miền hoặc hậu tố thư mục. Cổng so sánh chuỗi mà nó nhận được, nên định dạng là một phần của thông tin đăng nhập chứ không phải trang trí.

Sau đó loại trừ những nguyên nhân nhàm chán trước khi báo lên. Kiểm tra bố cục bàn phím, bất kỳ dấu cách cuối nào do sao chép, và một mục cũ trong trình quản lý mật khẩu. Sau khi đặt lại, xác nhận rằng VPN dùng cùng nguồn danh tính với trang nơi mật khẩu được đổi. Nếu những chi tiết đó đúng, hãy ngừng đoán và hỏi nhà điều hành xem tài khoản có được bật và cấp quyền truy cập VPN hay không. Đó là một chỉnh sửa phía dịch vụ, không phải cài đặt máy khách.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Dòng nhật ký mang AUTH_FAILED thường chứa mã lý do hoặc chuỗi thử thách. Sao chép chính xác thay vì diễn giải lại khi bạn cần trợ giúp.

Yếu tố thứ hai có hợp đồng riêng

Hồ sơ có thể mong đợi mã dùng một lần, thử thách tương tác hoặc đăng nhập qua trình duyệt trả lại token cho máy khách. Hãy dùng luồng mà nhà điều hành hỗ trợ thay vì tự phát minh một luồng.

Không nối thêm mã vào mật khẩu trừ khi định dạng đó được yêu cầu rõ ràng, vì một số triển khai dùng trường riêng và số khác dùng chuỗi thử thách. Với mã dựa trên thời gian, hãy kiểm tra đồng hồ thiết bị, vì lệch vài phút sẽ vô hiệu hóa mọi mã. Nếu đăng nhập qua trình duyệt thành công mà máy khách không bao giờ tiếp tục, hãy ghi lại đúng điểm đó, vì nó chỉ ra việc bàn giao chứ không phải thông tin đăng nhập. Một lần đặt lại mật khẩu nữa khó có ích.

Giới hạn phiên là kiểu từ chối phổ biến khác. Nếu tài khoản cho phép một phiên, lần đăng nhập thứ hai có thể kết thúc lần đầu, và triệu chứng trông như kết nối chập chờn chứ không phải chính sách.

Chứng chỉ không phải mật khẩu

Chứng chỉ máy khách có thể hết hạn hoặc bị thu hồi trong khi mật khẩu tài khoản vẫn hoàn toàn đúng. Cụm mật khẩu của khóa riêng tư lại là bí mật thứ ba, và nó bảo vệ một tệp chứ không phải một tài khoản.

Đọc lỗi trước khi thay thế bất cứ thứ gì, sau đó lấy bản thay thế đúng từ nhà điều hành đã xác minh. Giữ nguyên xác minh danh tính máy chủ trong khi làm việc đó: chấp nhận một chứng chỉ không liên quan hoặc sao chép khóa riêng của người khác không phải là sửa chữa, mà là sự cố thứ hai. Sau đó kiểm tra tài nguyên bạn thật sự cần, vì một đường hầm đã kết nối với dịch vụ không tới được thuộc cuộc điều tra khác. Ghi lại giai đoạn nào đã thất bại để người tiếp theo không bắt đầu lại toàn bộ quy trình.

Nếu phiên được thiết lập và thất bại sau đó, hãy ghi lại khoảng thời gian và mọi sự kiện gia hạn gần đó. Bản ghi đó tách vấn đề tuổi thọ token khỏi lỗi đăng nhập đầu tiên, và đó là khác biệt giữa một bản sửa năm phút và một tuần thử lại.