FortiClient-wagwoordblokkie ontbreek? Die poort besluit

Jy voltooi die FortiClient-installasie, koppel aan die kantoor se SSL VPN, en soek na 'n beheer om die wagwoord te stoor wat bloot nie daar is nie. Om die klient te herinstalleer bring dit nie terug nie, en dit help ook nie om die tonnel te skrap en weer by te voeg nie. Op 'n SSL VPN-profiel besluit die firewall of die klient geloofsbriewe hoegenaamd mag hou. 'n Ontbrekende merkblokkie beteken dus gewoonlik dat 'n beleid van die poort af gekom het, nie dat die installeerder gefaal het nie.

Daardie onderskeid maak saak voordat jy lêers begin redigeer: een van hierdie roetes is 'n gesprek met die firewall-eienaar, en die ander is laboratoriumwerk wat oorskryf sal word.

Kontroleer die portaal voordat jy aan die eindpunt raak

Vra wie ook al die FortiGate bestuur om die SSL VPN-portaal oop te maak waarna jou tonnel wys en die instelling vir stoor van wagwoorde daarvan te lees. Wanneer die opsie gedeaktiveer is, word daar van FortiClient verwag om die beheer te versteek en te weier om die geloofsbrief te stoor. Die eindpunt gehoorsaam die reël eerder as om foutief te werk.

Een vinnige toets skei beleid van 'n stukkende profiel: meld aan by 'n portaal wat stoor steeds toelaat en keer dan terug na joune. As die beheer op die toelatende portaal verskyn en op die toegeslote een verdwyn, stop hier en vra vir die poortverandering. Alles hieronder is veldwerk vir 'n laboratorium-huurder of 'n toetsprofiel, en niks daarvan oortref die bediener se besluit nie. 'n Profielverfrissing of 'n klientopgradering sal die plaaslike redigering oorskryf.

Windows hou die vlag binne die tonnelsleutel

Gestoor tonnels leef onder die huidige gebruiker, een sleutel per verbinding, en die sigbaarheidsvlag sit langs die verbindingsbesonderhede:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Stel die waarde op 1, verlaat die klient vanaf die systeemlaai eerder as om sy venster toe te maak, en maak dit weer oop. Op 5.x-bouwe kon dieselfde vlag onder die Wow6432Node-tak van HKEY_LOCAL_MACHINE sit, so kyk daar wanneer die sleutel per gebruiker afwesig is. Sommige 6.x-bouwe herskryf die waarde ná 'n suksesvolle verbinding, wat 'n merkblokkie verklaar wat een aanmelding oorleef en by die volgende verdwyn. As jou sleutel glad nie so 'n waarde het nie, skep dit as 'n string eerder as om ander name te raai.

Behandel die register as 'n ontfoutstap. Lewende registertoestand is onsigbaar vir die volgende administrateur, en geen voorraadverfrissing sal dit bewaar nie.

Op macOS, spoor die klient na om sy lêer te vind

Die macOS-klient hou instellings per verbinding onder /Library/Application Support/Fortinet/FortiClient/conf, in 'n woordeboek vir elke tonnel. Die sleutel wat jy moet stel is AllowSavePassword, en dit moet 1 lees terwyl die outokoppel-sleutels in dieselfde woordeboek ongeskonde bly. Herbegin die klient wanneer jy klaar is.

'n Gissing oor die presiese lêer mors tyd op 'n onbekende bou. Hardloop opensnoop terwyl jy die tonnel byvoeg en lees dan die paaie wat die klient aangeraak het; die lêer wat dit geskryf het, is die een wat die vlag dra. Redigeer daardie lêer met die klient gesluit en die werk is klaar. Vyf minute se spoor volg verslaan elke keer 'n lêerstelselwye soektog.

Verkies 'n uitvoer-, redigeer- en herstelsiklus

Nuwer kliënte laat jou die hele konfigurasie deur 'n lêer heen en weer voer, wat makliker is om te herhaal en na 'n ander masjien oor te dra as lewende registerchirurgie:

• Voer uit vanuit die klientinstellings, sluit gebruikerinstellings in, en stel 'n uitvoerwagwoord.
• Maak die lêer oop en stel show_remember_password op 1.
• Ontsluit die hangslot in die klient; Herstel doen niks terwyl dit gesluit is nie.
• Herstel die geredigeerde lêer en verskaf die uitvoerwagwoord.

Die beheer behoort by die volgende aanmelding te verskyn. Hou die uitgevoerde lêer weg van gedeelde vouers en kaartjie-aanhegsels, want dit beskryf jou tonnels en kan 'n versleutelde geheim dra.

As die herstel werk maar die blokkie weer wegkruip ná verbinding, herbevestig die poort die beleid by elke aanmelding en geen plaaslike lêer sal die instelling lank hou nie.

Skrap die geheim voordat dit in 'n toesluiting verander

Die Linux-bevellynklient het glad geen merkblokkie nie, so 'n omhulsel wat die wagwoord op stdin invoer is die gewone antwoord en dit stoor niks. Op enige platform is die betroubare verwydering om die verbinding terug te skakel na versoek by aanmelding, of om die tonnel heeltemal te skrap.

'n Gestoor geloofsbrief oorleef die wagwoordverandering wat dit ongeldig maak, en die gevolglike mislukkings lyk soos 'n VPN-onderbreking: verwerpings, herprobeer, dan 'n rekeningtoesluiting. Skrap die gestoorde waarde voordat jy 'n wagwoord roteer, en kyk deur die tonnellys vir verouderde inskrywings wat nog een dra. Die geheim sit versleutel in die klientwinkel, so om dit met die hand te redigeer is nutteloos. Om die tonnel te skrap is vinniger en laat niks agter nie.

Werk dit in volgorde deur: bevestig die portaalinstelling met die firewall-eienaar, bewys die bron met 'n toelatende profiel, hou register- of plist-redigerings binne 'n laboratorium, en weet watter lêer die geheim hou sodat jy dit kan verwyder. 'n Merkblokkie wat op 'n portaal ontbreek wat stoor toelaat, is 'n eindpuntprobleem, en die klient se logboeke is die volgende plek om te kyk.