Липсва квадратче за запазване на паролата в FortiClient? Шлюзът решава

Завършвате инсталацията на FortiClient, свързвате се с офисния SSL VPN и търсите контрола за запазване на парола, която просто я няма. Преинсталирането на клиента не я връща, а изтриването на тунела и добавянето му наново също не помага. В профил SSL VPN защитната стена решава дали клиентът въобще може да съхранява идентификационни данни. Затова липсващото квадратче обикновено означава, че политика е дошла от шлюза, а не че инсталаторът се е провалил.

Тази разлика е важна, преди да започнете да редактирате файлове: един от тези пътища е разговор със собственика на защитната стена, а другият е лабораторна работа, която ще бъде презаписана.

Проверете портала, преди да пипате крайната точка

Помолете този, който управлява FortiGate, да отвори портала SSL VPN, към който сочи вашият тунел, и да прочете настройката му за запазване на парола. Когато опцията е изключена, от FortiClient се очаква да скрие контролата и да откаже да съхрани идентификационните данни. Крайната точка се подчинява на правилото, вместо да е повредена.

Един бърз тест отделя политиката от счупен профил: влезте в портал, който все още разрешава запазване, после се върнете към вашия. Ако контролата се появи на разрешаващия портал и изчезне на заключения, спрете тук и поискайте промяната на шлюза. Всичко по-долу е теренна работа за лабораторен наемател или тестов профил и нищо от него не е над решението на сървъра. Обновяване на профила или надграждане на клиента ще презапише локалната редакция.

Windows държи флага вътре в ключа на тунела

Запазените тунели живеят под текущия потребител, по един ключ за връзка, а флагът за видимост стои до подробностите на връзката:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Задайте стойност 1, излезте от клиента от системния трей, вместо да затваряте прозореца му, и го отворете отново. В сборки 5.x същият флаг можеше да стои под клона Wow6432Node на HKEY_LOCAL_MACHINE, затова погледнете там, когато ключът за потребителя липсва. Някои сборки 6.x презаписват стойността след успешна връзка, което обяснява квадратче, което оцелява един вход и изчезва при следващия. Ако ключът ви изобщо няма такава стойност, създайте я като низ, вместо да гадаете други имена.

Отнасяйте се към регистъра като към стъпка за отстраняване на грешки. Живото състояние на регистъра е невидимо за следващия администратор и никакво обновяване на инвентара няма да го запази.

На macOS проследете клиента, за да намерите файла му

Клиентът за macOS пази настройките за всяка връзка под /Library/Application Support/Fortinet/FortiClient/conf, в речник за всеки тунел. Ключът, който трябва да зададете, е AllowSavePassword и той трябва да се чете като 1, докато ключовете за автоматично свързване в същия речник остават непокътнати. Рестартирайте клиента, когато приключите.

Гадането на точния файл губи време при непозната сборка. Пуснете opensnoop, докато добавяте тунела, после прочетете пътищата, които клиентът е пипнал; файлът, който е записал, е този, който носи флага. Редактирайте този файл със затворен клиент и работата е свършена. Пет минути проследяване всеки път побеждават търсене из цялата файлова система.

Предпочитайте цикъл на експорт, редакция и възстановяване

По-новите клиенти ви позволяват да прекарате цялата конфигурация през файл, което е по-лесно за повторение и за предаване на друга машина от жива хирургия на регистъра:

• Експортирайте от настройките на клиента, включете потребителските настройки и задайте парола за експорта.
• Отворете файла и задайте show_remember_password на 1.
• Отключете катинара в клиента; Възстановяване не прави нищо, докато е заключен.
• Възстановете редактирания файл и въведете паролата за експорта.

Контролата трябва да се появи при следващия вход. Пазете експортирания файл далеч от споделени папки и прикачени файлове към тикети, защото той описва тунелите ви и може да носи криптирана тайна.

Ако възстановяването работи, но квадратчето отново се скрие след свързване, шлюзът налага политиката при всеки вход и нито един локален файл няма да задържи настройката дълго.

Изчистете тайната, преди да се превърне в блокиране

Клиентът за команден ред на Linux няма никакво квадратче, затова обвивка, която подава паролата на stdin, е обичайният отговор и тя не съхранява нищо. На всяка платформа надеждното премахване е връщане на връзката към питане при вход или пълно изтриване на тунела.

Запазените идентификационни данни надживяват смяната на паролата, която ги обезсилва, и произтичащите откази изглеждат като прекъсване на VPN: отхвърляния, повторни опити, после блокиране на акаунта. Изчистете запазената стойност, преди да смените парола, и прегледайте списъка с тунели за остарели записи, които все още носят такава. Тайната стои криптирана в хранилището на клиента, затова ръчното ѝ редактиране е безсмислено. Изтриването на тунела е по-бързо и не оставя нищо.

Минете през него по ред: потвърдете настройката на портала със собственика на защитната стена, докажете източника с разрешаващ профил, дръжте редакции на регистъра или plist в лаборатория и знайте кой файл държи тайната, за да можете да я премахнете. Липсващо квадратче на портал, който разрешава запазване, е проблем на крайната точка и логовете на клиента са следващото място за гледане.