Zašto openfortivpn prijava ne uspijeva kada zalijepite URL portala

Neuspjeh izgleda kao problem s vjerodajnicama: openfortivpn traži lozinku, pošalje je, a mrežni prolaz odgovori odbijenicom ili preusmjerenjem natrag na stranicu za prijavu. Korisnici tada ponovno upisuju lozinku, isprobavaju naziv računa s domenom i na kraju zalijepe URL portala iz preglednika u polje hosta. Upravo taj posljednji potez malu grešku u konfiguraciji pretvara u zbunjujuću.

Adresa Fortinet portala poput https://vpn.example.com/ext nosi nekoliko dijelova informacija odjednom, a samo neki od njih pripadaju VPN klijentu.

Krajnja točka i realm su odvojeni unosi

openfortivpn očekuje krajnju točku u obliku host ili host:port, plus račun i, gdje ga implementacija koristi, vrijednost realma. Realm govori mrežnom prolazu koja politika provjere identiteta se primjenjuje prije ocjene računa. To je odvojeno polje, a ne sufiks koji klijent izvlači iz URL-a.

Za implementaciju čiji operater potvrdi da je realm ext, poziv koji nije tajna izgleda ovako: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Iste vrijednosti pripadaju u konfiguracijsku datoteku kao unosi host, port, username i realm. Ostavite lozinku izvan oba oblika i pustite klijenta da je zatraži, kako ne bi završila u povijesti ljuske ili datoteci koju svi mogu čitati. Drugi pokušaj dok prvi klijent još drži tunel neće uspjeti iz razloga koji nema nikakve veze s realmom.

Priručnik openfortivpn navodi obje opcije, pa je točan način pisanja lako provjeriti prije poziva podršci. Ne može vam, međutim, reći koji je realm konfiguriran na vašem mrežnom prolazu.

Segment putanje nije automatski realm

URL-ovi portala skupljaju razne stvari nakon imena hosta: aplikaciju za prijavu, birač jezika, odredište preusmjerenja, identifikator sesije. Odrezati posljednji segment putanje i nazvati ga realmom radi dovoljno često da bude opasno. Pitajte operatera za konfiguriranu vrijednost ili je pročitajte iz profila koji vaša organizacija dijeli.

Realm također nije isto što i sufiks domene u korisničkom imenu ili regija u kojoj se mrežni prolaz nalazi. Neke implementacije žele alice, druge žele alice@corp, a realm odlučuje koje će mrežni prolaz prihvatiti. Promjena oblika računa da bi se nadoknadio pogrešan realm obično daje drugu, manje informativnu odbijenicu.

Ne popravljajte grešku realma mijenjanjem hosta

Zamjena imena hosta IP adresom izgleda kao uklanjanje sloja, a kvari više nego što popravlja. TLS provjera imena uspoređuje certifikat s imenom koje je klijent upotrijebio, a IP adresa rijetko postoji među alternativnim imenima subjekta certifikata. Indikacija imena poslužitelja mijenja se s adresom, pa mrežni prolaz koji na jednoj adresi hosta nekoliko portala može odgovoriti pogrešnim. Zadržite ime hosta i konfiguraciju povjerenja netaknutima dok ispravljate parametar provjere identiteta.

Ako certifikat nije pouzdan u vašem okruženju, popravite spremište povjerenja ili namjerno prikvačite očekivani certifikat. Isključivanje provjere da bi se zaobišla greška realma zamjenjuje problem prijave rizikom tihog presretanja.

Odvojite odbijenu prijavu od neuspjelog tunela

Neuspjesi provjere identiteta i neuspjesi tunela dolaze u različitim trenucima, a poruke se razlikuju. Greška razlučivanja imena događa se prije bilo kojeg TLS rukovanja. Odbijenica TLS-a događa se prije slanja vjerodajnica. Odbijenica realma ili računa vraća se kao odgovor na razini HTTP-a od portala. Tek nakon tih faza počinje PPP pregovaranje i tek tada se pojavljuju problemi s usmjeravanjem i DNS-om.

Ispravan realm ne stvara nedostajuću rutu i ne čini nepodržanu metodu prijave radnom. Ako portal inzistira na toku u pregledniku, upotrijebite klijentom podržan put za taj tok umjesto ponavljanja razmjene lozinke i nade da će se sesija poklopiti.

Držite vrijednosti tamo gdje će ih sljedeće pokretanje naći

Kad veza uspije, upišite mrežni prolaz, port, račun i realm u upravljani profil umjesto u alias ljuske. Profili koji se čuvaju u repozitoriju ili sustavu za upravljanje konfiguracijom sprječavaju da sljedeće pokretanje tiho preuzme realm drugog profila.

Ponovno testirajte jednu vezu od početka do kraja i potvrdite i primijenjenu politiku i pristup resursu koji vam stvarno treba. Uspješna provjera identiteta početak je te provjere, a ne njezin kraj.