Защо входът в openfortivpn се проваля, когато поставите URL адреса на портала

Провалът изглежда като проблем с идентификационните данни: openfortivpn иска паролата, изпраща я, а шлюзът отговаря с отказ или с пренасочване обратно към страницата за вход. Тогава потребителите въвеждат паролата отново, пробват името на акаунта с домейн и накрая поставят URL адреса на портала от браузъра в полето за хост. Именно тази последна стъпка превръща малка конфигурационна грешка в объркваща.

Адрес на портал на Fortinet, например https://vpn.example.com/ext, носи няколко части информация наведнъж и само някои от тях принадлежат на VPN клиента.

Крайната точка и realm са отделни входни стойности

openfortivpn очаква крайна точка във формата host или host:port, плюс акаунт и, когато внедряването използва такъв, стойност за realm. Realm казва на шлюза каква политика за удостоверяване да приложи, преди да оцени акаунта. Това е отделно поле, а не наставка, която клиентът извлича от URL адрес.

За внедряване, чийто оператор потвърждава, че realm е ext, едно несекретно извикване изглежда така: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Същите стойности се записват в конфигурационния файл като записи host, port, username и realm. Оставете паролата извън двете форми и оставете клиента да я поиска, за да не попадне в историята на обвивката или във файл, достъпен за всички. Втори опит, докато първият клиент още държи тунела, ще се провали по причина, която няма нищо общо с realm.

Ръководството openfortivpn изброява и двете опции, така че точното изписване се проверява лесно преди обаждане до поддръжката. То обаче не може да ви каже кой realm е настроен на вашия шлюз.

Сегмент от пътя не е автоматично realm

URL адресите на портали събират най-различни неща след името на хоста: приложение за вход, избор на език, цел за пренасочване, идентификатор на сесия. Изрязването на последния сегмент от пътя и наричането му realm работи достатъчно често, за да е опасно. Попитайте оператора за настроената стойност или я прочетете от профила, който организацията ви разпространява.

Realm също не е същото като наставка за домейн в името на потребителя или региона, в който се намира шлюзът. Някои внедрявания искат alice, други искат alice@corp, и realm решава кой от тях ще приеме шлюзът. Промяната на формата на акаунта, за да компенсира грешен realm, обикновено дава втори, по-малко информативен отказ.

Не поправяйте грешка с realm, като сменяте хоста

Смяната на името на хоста с IP адрес изглежда като премахване на слой и чупи повече, отколкото поправя. Проверката на името по TLS сравнява сертификата с името, което клиентът е използвал, а IP адресът рядко присъства в алтернативните имена на субекта на сертификата. Индикаторът за име на сървър се променя с адреса, затова шлюз, който хоства няколко портала на един адрес, може да отговори с грешния. Запазете името на хоста и конфигурацията за доверие непокътнати, докато коригирате параметъра за удостоверяване.

Ако сертификатът не е надежден във вашата среда, поправете хранилището за доверие или умишлено закрепете очаквания сертификат. Изключването на проверката, за да се прескочи грешка с realm, заменя проблем с входа срещу риск от тихо прихващане.

Отделете отказания вход от неуспешния тунел

Неуспехите при удостоверяване и неуспехите на тунела идват в различни моменти и съобщенията се различават. Грешка при разрешаване на име се случва преди каквото и да е ръкостискане по TLS. Отказ по TLS се случва преди изпращането на идентификационни данни. Отказ заради realm или акаунт се връща като отговор на ниво HTTP от портала. Едва след тези етапи започва договарянето по PPP и едва тогава се появяват проблеми с маршрутизацията и DNS.

Правилният realm не създава липсващ маршрут и не прави неподдържан метод за вход работещ. Ако порталът настоява за поток през браузър, използвайте поддържания от клиента път за този поток, вместо да преигравате размяна на парола и да се надявате, че сесията ще съвпадне.

Пазете стойностите там, където следващото стартиране ще ги намери

След успешна връзка запишете шлюза, порта, акаунта и realm в управлявания профил, вместо в псевдоним в обвивката. Профилите, съхранявани в хранилище или система за управление на конфигурацията, пречат на следващото стартиране тихо да поеме realm от друг профил.

Тествайте отново една връзка от край до край и потвърдете както приложената политика, така и достъпа до ресурс, който наистина ви е нужен. Успешното удостоверяване е началото на тази проверка, а не нейният край.