У FortiClient няма поля «Захаваць пароль»? Рашэнне прымае шлюз

Вы скончваеце ўсталяванне FortiClient, падключаецеся да офіснай SSL VPN і шукаеце элемент кіравання «Захаваць пароль», якога проста няма. Пераўсталяванне кліента не вяртае яго, і выдаленне тунеля з паўторным даданнем таксама не дапамагае. У профілі SSL VPN міжсеткавы экран вырашае, ці можа кліент наогул захоўваць уліковыя даныя. Таму адсутнасць сцяжка звычайна азначае, што палітыка прыйшла ад шлюза, а не што ўсталёўшчык не спрацаваў.

Гэта розніца важная, перш чым пачынаць праўку файлаў: адзін з гэтых шляхоў — размова з уладальнікам міжсеткавага экрана, а другі — лабараторная праца, якую перазапішуць.

Праверце партал, перш чым чапаць канчатковы пункт

Папрасіце таго, хто кіруе FortiGate, адкрыць партал SSL VPN, на які паказвае ваш тунель, і прачытаць яго наладу захавання пароля. Калі опцыя адключаная, ад FortiClient чакаюць, што ён схавае элемент кіравання і адмовіцца захоўваць уліковыя даныя. Канчатковы пункт падпарадкоўваецца правілу, а не ламаецца.

Адзін хуткі тэст аддзяляе палітыку ад зламанага профілю: увайдзіце на партал, які яшчэ дазваляе захаванне, а затым вярніцеся на свой. Калі элемент кіравання з'яўляецца на дазваляльным партале і знікае на зачыненым, спыніцеся тут і папрасіце змяненне на шлюзе. Усё ніжэй — палявая праца для лабараторнага тэнанта або тэставага профілю, і нішто з гэтага не вышэй за рашэнне сервера. Абнаўленне профілю ці абнаўленне кліента перазапіша лакальную праўку.

Windows трымае сцяжок унутры ключа тунеля

Захаваныя тунелі жывуць пад бягучым карыстальнікам, адзін ключ на злучэнне, а сцяжок бачнасці стаіць побач з дэталямі злучэння:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Пастаўце значэнне 1, выйдзіце з кліента з латкі, а не закрывайце яго акно, і адкрыйце зноў. У зборках 5.x той жа сцяжок мог быць пад галіной Wow6432Node ключа HKEY_LOCAL_MACHINE, таму паглядзіце там, калі ключ карыстальніка адсутнічае. Некаторыя зборкі 6.x перазапісваюць значэнне пасля паспяховага злучэння, што тлумачыць сцяжок, які перажывае адзін уваход і знікае пры наступным. Калі ў вашым ключы наогул няма такога значэння, стварыце яго як радковы, а не ўгадвайце іншыя назвы.

Разглядайце рэестр як крок адладкі. Жывы стан рэестра нябачны наступнаму адміністратару, і ніякае абнаўленне інвентару яго не захавае.

На macOS прасачыце кліент, каб знайсці яго файл

Кліент macOS захоўвае налады для кожнага злучэння ў /Library/Application Support/Fortinet/FortiClient/conf, у слоўніку для кожнага тунеля. Ключ, які трэба ўсталяваць, — AllowSavePassword, і ён павінен чытацца як 1, пакуль ключы аўтападключэння ў тым жа слоўніку застаюцца цэлымі. Перазапусціце кліент, калі скончыце.

Угадванне дакладнага файла марнуе час на незнаёмай зборцы. Запусціце opensnoop, пакуль дадаяце тунель, а затым прачытайце шляхі, якіх кліент датыкаўся; файл, які ён запісаў, і ёсць той, што нясе сцяжок. Адрэдагуйце гэты файл з закрытым кліентам, і справа скончана. Пяць хвілін прасочвання кожны раз перамагаюць пошук па ўсёй файлавай сістэме.

Аддайце перавагу цыклу экспарту, праўкі і аднаўлення

Новыя кліенты дазваляюць прагнаць усю канфігурацыю праз файл, што лягчэй паўтарыць і перадаць на іншую машыну, чым жывую хірургію рэестра:

• Экспартуйце з налад кліента, уключыце налады карыстальніка і задайце пароль экспарту.
• Адкрыйце файл і пастаўце show_remember_password у 1.
• Адкрыйце замок у кліенце; Аднаўленне нічога не робіць, пакуль ён зачынены.
• Аднавіце адрэдагаваны файл і ўвядзіце пароль экспарту.

Элемент кіравання павінен з'явіцца пры наступным уваходзе. Трымайце экспартаваны файл далей ад агульных папак і прыкладанняў да тыкетаў, бо ён апісвае вашы тунелі і можа несці зашыфраваны сакрэт.

Калі аднаўленне працуе, але сцяжок зноў хаваецца пасля злучэння, шлюз пацвярджае палітыку пры кожным уваходзе, і ніякі лакальны файл не ўтрымае наладу надоўга.

Сцярыце сакрэт, пакуль ён не стаў блакіроўкай

Кліент каманднага радка Linux наогул не мае сцяжка, таму абгортка, якая падае пароль на stdin, — звычайны адказ, і яна нічога не захоўвае. На любой платформе надзейнае выдаленне — пераключыць злучэнне назад на запыт пры ўваходзе або цалкам выдаліць тунель.

Захаваныя ўліковыя даныя перажываюць змену пароля, якая іх анулюе, і выніковыя збоі выглядаюць як збой VPN: адмовы, паўторы, затым блакіроўка ўліковага запісу. Сцярыце захаванае значэнне, перш чым мяняць пароль, і прагледзьце спіс тунеляў на састарэлыя запісы, якія ўсё яшчэ яго нясуць. Сакрэт ляжыць зашыфраваным у сховішчы кліента, таму правіць яго ўручную бессэнсоўна. Выдаленне тунеля хутчэйшае і не пакідае нічога.

Праходзьце па парадку: пацвердзіце наладу партала з уладальнікам міжсеткавага экрана, дакажыце крыніцу дазваляльным профілем, трымайце праўкі рэестра або plist у лабараторыі і ведайце, які файл трымае сакрэт, каб вы маглі яго выдаліць. Адсутны сцяжок на партале, які дазваляе захаванне, — праблема канчатковага пункта, і журналы кліента — наступнае месца, куды глядзець.