Falta la casella Desa la contrasenya al FortiClient? Decideix la passarel·la

Acabeu la instal·lació del FortiClient, us connecteu a la SSL VPN de l'oficina i busqueu un control per desar la contrasenya que simplement no hi és. Reinstal·lar el client no el fa tornar, i esborrar el túnel i tornar-lo a afegir tampoc no ho aconsegueix. En un perfil SSL VPN el tallafocs decideix si el client pot arribar a conservar credencials. Per tant, una casella que falta normalment vol dir que ha arribat una política de la passarel·la, no que l'instal·lador hagi fallat.

Aquesta distinció importa abans de començar a editar fitxers: un d'aquests camins és una conversa amb el propietari del tallafocs i l'altre és feina de laboratori que es sobreescriurà.

Comproveu el portal abans de tocar l'equip

Demanem a qui gestiona el FortiGate que obri el portal SSL VPN al qual apunta el vostre túnel i llegeixi la seva configuració de desar contrasenya. Quan l'opció està desactivada, s'espera que el FortiClient amagui el control i es negui a desar la credencial. L'equip obeeix la regla en lloc d'estar avariat.

Una prova ràpida separa la política d'un perfil espatllat: inicieu sessió en un portal que encara permet desar i torneu al vostre. Si el control apareix al portal permissiu i desapareix al bloquejat, atureu-vos aquí i demaneu el canvi a la passarel·la. Tot el que hi ha a sota és treball de camp per a un llogater de laboratori o un perfil de prova, i res no supera la decisió del servidor. Una actualització del perfil o del client reescriurà l'edició local.

El Windows guarda el senyal dins la clau del túnel

Els túnels desats viuen sota l'usuari actual, una clau per connexió, i el senyal de visibilitat seu al costat dels detalls de la connexió:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Poseu el valor a 1, sortiu del client des de la safata en lloc de tancar la finestra i torneu-lo a obrir. A les compilacions 5.x el mateix senyal podia seure sota la branca Wow6432Node d'HKEY_LOCAL_MACHINE, així que mireu-hi quan falta la clau per usuari. Algunes compilacions 6.x reescriuen el valor després d'una connexió correcta, cosa que explica una casella que sobreviu a un inici de sessió i desapareix al següent. Si la vostra clau no té cap valor així, creeu-lo com a cadena en lloc d'endevinar altres noms.

Tracteu el registre com un pas de depuració. L'estat viu del registre és invisible per al següent administrador i cap refresc d'inventari no el conservarà.

A macOS, resseguiu el client per trobar el seu fitxer

El client de macOS guarda la configuració per connexió a /Library/Application Support/Fortinet/FortiClient/conf, en un diccionari per a cada túnel. La clau que cal definir és AllowSavePassword i ha de llegir-se com a 1 mentre les claus de connexió automàtica d'aquell mateix diccionari queden intactes. Reinicieu el client quan hàgiu acabat.

Endevinar el fitxer exacte fa perdre temps en una compilació desconeguda. Executeu opensnoop mentre afegiu el túnel i llegiu després els camins que el client ha tocat; el fitxer que ha escrit és el que porta el senyal. Editeu aquest fitxer amb el client tancat i la feina està feta. Cinc minuts de seguiment superen cada vegada una cerca per tot el sistema de fitxers.

Preferiu un cicle d'exportar, editar i restaurar

Els clients més nous us deixen fer anar tota la configuració amunt i avall mitjançant un fitxer, cosa més fàcil de repetir i de passar a una altra màquina que la cirurgia en viu del registre:

• Exporteu des de la configuració del client, incloeu la configuració d'usuari i definiu una contrasenya d'exportació.
• Obriu el fitxer i poseu show_remember_password a 1.
• Desbloquegeu el cadenat al client; Restaura no fa res mentre està bloquejat.
• Restaureu el fitxer editat i doneu la contrasenya d'exportació.

El control hauria d'aparèixer al següent inici de sessió. Mantingueu el fitxer exportat lluny de carpetes compartides i d'adjunts de tiquets, perquè descriu els vostres túnels i pot portar un secret xifrat.

Si la restauració funciona però la casella s'amaga de nou després de connectar, la passarel·la reafirma la política a cada inici de sessió i cap fitxer local no aguantarà la configuració gaire estona.

Esborreu el secret abans que es converteixi en un bloqueig

El client de línia d'ordres del Linux no té cap casella, així que un embolcall que passi la contrasenya per stdin és la resposta habitual i no desa res. A qualsevol plataforma, la retirada fiable és tornar la connexió a demanar la contrasenya en iniciar sessió o esborrar el túnel del tot.

Una credencial desada sobreviu al canvi de contrasenya que la invalida, i les fallades resultants semblen una caiguda de la VPN: rebuigs, reintents i després un bloqueig del compte. Esborreu el valor desat abans de canviar una contrasenya i reviseu la llista de túnels a la recerca d'entrades antigues que encara en portin una. El secret és al magatzem del client xifrat, així que editar-lo a mà no té sentit. Esborrar el túnel és més ràpid i no deixa res enrere.

Feu-ho per ordre: confirmeu la configuració del portal amb el propietari del tallafocs, demostreu l'origen amb un perfil permissiu, manteniu les edicions del registre o del plist dins d'un laboratori i sapigueu quin fitxer guarda el secret per poder-lo treure. Una casella que falta en un portal que permet desar és un problema de l'equip, i els registres del client són el següent lloc on mirar.