Waarom openfortivpn-aanmelding misluk wanneer jy die portaal-URL plak

Die mislukking lyk soos ’n probleem met die geloofsbriewe: openfortivpn vra die wagwoord, stuur dit, en die gateway antwoord met ’n weiering of ’n herleiding terug na die aanmeldbladsy. Gebruikers tik dan die wagwoord weer in, probeer die domeingekwalifiseerde rekeningnaam, en plak uiteindelik die blaaier se portaal-URL in die gasheerveld. Daardie laaste stap is die een wat ’n klein konfigurasiefout in ’n verwarrende een verander.

’n Fortinet-portaaladres soos https://vpn.example.com/ext dra verskeie stukke inligting gelyktydig, en net sommige daarvan hoort by die VPN-kliënt.

Die eindpunt en die realm is afsonderlike insette

openfortivpn verwag ’n eindpunt in host- of host:port-vorm, plus ’n rekening en, waar die ontplooiing een gebruik, ’n realm-waarde. Die realm sê vir die gateway watter verifikasiebeleid toegepas moet word voordat die rekening geëvalueer word. Dit is ’n afsonderlike veld, nie ’n agtervoegsel wat die kliënt uit ’n URL ontleed nie.

Vir ’n ontplooiing waarvan die operateur bevestig dat die realm ext is, lyk ’n nie-geheime aanroep soos openfortivpn vpn.example.com:443 --username=alice --realm=ext. Dieselfde waardes hoort in die konfigurasielêer as host-, port-, username- en realm-inskrywings. Laat die wagwoord uit albei vorme en laat die kliënt vra, sodat dit nie in die dopgeskiedenis of ’n wêreldleesbare lêer beland nie. ’n Tweede poging terwyl die eerste kliënt nog die tonnel hou, sal misluk om ’n rede wat niks met die realm te doen het nie.

Die openfortivpn-handleiding lys albei opsies, so die presiese spelling is maklik om te bevestig voordat jy die ondersteuning bel. Dit kan jou egter nie sê watter realm jou gateway ingestel het nie.

’n Padsegment is nie outomaties ’n realm nie

Portaal-URL's versamel allerhande dinge ná die gasheernaam: ’n aanmeldtoepassing, ’n taalkeuse, ’n herleidingsteiken, ’n sessie-identifiseerder. Om die laaste padsegment te stroop en dit ’n realm te noem, werk dikwels genoeg om gevaarlik te wees. Vra die operateur vir die ingestelde waarde, of lees dit uit die profiel wat jou organisasie versprei.

’n Realm is ook nie dieselfde ding as ’n domein-agtervoegsel op die gebruikersnaam of die streek waarin die gateway sit nie. Sommige ontplooiings wil alice, ander wil alice@corp, en die realm besluit watter van dié die gateway sal aanvaar. Om die rekeningformaat te verander om ’n verkeerde realm te vergoed, lewer gewoonlik ’n tweede, minder insiggewende weiering.

Moenie ’n realm-fout regmaak deur die gasheer te verander nie

Om die gasheernaam met ’n IP-adres te ruil voel soos om ’n laag te verwyder, en dit breek meer as wat dit regmaak. TLS-naamvalidering vergelyk die sertifikaat met die naam wat die kliënt gebruik het, en ’n IP-adres verskyn selde in ’n sertifikaat se alternatiewe vakname. Bedienernaam-aanduiding verander saam met die adres, so ’n gateway wat verskeie portale op een adres huisves, antwoord dalk met die verkeerde een. Hou die gasheernaam en die vertrouekonfigurasie ongeskonde terwyl jy die verifikasieparameter regstel.

As die sertifikaat in jou omgewing nie vertrou word nie, maak die vertrouewinkel reg of pen die verwagte sertifikaat doelbewus vas. Om verifikasie af te skakel om verby ’n realm-fout te kom, ruil ’n aanmeldprobleem vir ’n stil onderskeprisiko.

Skei ’n geweierde aanmelding van ’n mislukte tonnel

Verifikasiefoute en tonnelfoute kom op verskillende oomblikke, en die boodskappe verskil. ’n Naamoplossingsfout gebeur voor enige TLS-handdruk. ’n TLS-weiering gebeur voordat geloofsbriewe gestuur word. ’n Realm- of rekeningweiering kom terug as ’n antwoord op HTTP-vlak van die portaal. Eers ná daardie stadiums begin PPP-onderhandeling, en eers dan verskyn roetering- en DNS-probleme.

’n Korrekte realm skep nie ’n ontbrekende roete nie, en dit maak nie ’n onondersteunde aanmeldmetode werk nie. As die portaal op ’n blaaiergebaseerde vloei aandring, gebruik die kliënt se ondersteunde pad vir daardie vloei eerder as om ’n wagwoordruil te herhaal en te hoop die sessie pas.

Hou die waardes waar die volgende bekendstelling hulle sal vind

Sodra ’n verbinding slaag, skryf die gateway, poort, rekening en realm in die bestuurde profiel in eerder as in ’n dopalias. Profiele wat in ’n bewaarplek of ’n konfigurasiebestuurstelsel gehou word, keer dat die volgende bekendstelling stilweg ’n ander profiel se realm optel.

Herhaal een verbinding van begin tot einde en bevestig beide die beleid wat toegepas is en toegang tot ’n hulpbron wat jy werklik nodig het. Dat verifikasie slaag, is die begin van daardie kontrole, nie die einde daarvan nie.