Mangler FortiClient-feltet Gem adgangskode? Gatewayen bestemmer

Du afslutter installationen af FortiClient, forbinder til kontorets SSL VPN og leder efter en kontrol til at gemme adgangskoden, som ganske enkelt ikke er der. Geninstallation af klienten bringer den ikke tilbage, og det gør sletningen af tunnelen og tilføjelsen af den igen heller ikke. I en SSL VPN-profil afgør firewallen, om klienten overhovedet må gemme loginoplysninger. Et manglende afkrydsningsfelt betyder derfor normalt, at en politik er kommet fra gatewayen, ikke at installationsprogrammet fejlede.

Den forskel betyder noget, før du begynder at redigere filer: en af disse veje er en samtale med firewallens ejer, og den anden er laboratoriearbejde, der bliver overskrevet.

Tjek portalen, før du rører endpointet

Bed den, der driver FortiGate, om at åbne den SSL VPN-portal, din tunnel peger på, og læse dens indstilling for lagring af adgangskode. Når indstillingen er deaktiveret, forventes FortiClient at skjule kontrollen og nægte at gemme loginoplysningerne. Endpointet adlyder reglen i stedet for at være defekt.

En hurtig test skiller politik fra en defekt profil: log ind på en portal, der stadig tillader lagring, og vend så tilbage til din egen. Hvis kontrollen vises på den tilladende portal og forsvinder på den lukkede, så stop her og bed om ændringen på gatewayen. Alt nedenfor er feltarbejde for en laboratorielejer eller en testprofil, og intet af det overgår serverens beslutning. En opdatering af profilen eller en klientopgradering overskriver den lokale ændring.

Windows gemmer flaget inde i tunnelens nøgle

Gemte tunneler lever under den aktuelle bruger, én nøgle pr. forbindelse, og synlighedsflaget sidder ved siden af forbindelsens detaljer:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Sæt værdien til 1, afslut klienten fra proceslinjen i stedet for at lukke vinduet, og åbn den igen. I 5.x-builds kunne det samme flag sidde under Wow6432Node-grenen af HKEY_LOCAL_MACHINE, så kig der, når nøglen pr. bruger mangler. Nogle 6.x-builds overskriver værdien efter en vellykket forbindelse, hvilket forklarer et afkrydsningsfelt, der overlever én login og forsvinder ved den næste. Hvis din nøgle slet ikke har en sådan værdi, så opret den som en streng i stedet for at gætte på andre navne.

Behandl registreringsdatabasen som et fejlsøgningstrin. Den levende tilstand er usynlig for den næste administrator, og ingen opdatering af oversigten bevarer den.

På macOS kan du spore klienten for at finde dens fil

macOS-klienten gemmer indstillinger pr. forbindelse under /Library/Application Support/Fortinet/FortiClient/conf i en ordbog for hver tunnel. Nøglen, der skal sættes, er AllowSavePassword, og den skal læses som 1, mens auto-forbindelsesnøglerne i samme ordbog forbliver intakte. Genstart klienten, når du er færdig.

At gætte den præcise fil spilder tid på en ukendt build. Kør opensnoop, mens du tilføjer tunnelen, og læs derefter de stier, klienten har rørt; den fil, den skrev, er den, der bærer flaget. Rediger den fil med klienten lukket, og arbejdet er gjort. Fem minutters sporing slår hver gang en søgning i hele filsystemet.

Foretræk en cyklus med eksport, redigering og gendannelse

Nyere klienter lader dig køre hele konfigurationen gennem en fil, hvilket er lettere at gentage og give videre til en anden maskine end levende kirurgi i registreringsdatabasen:

• Eksportér fra klientindstillingerne, medtag brugerindstillinger, og angiv en eksportadgangskode.
• Åbn filen, og sæt show_remember_password til 1.
• Lås hængelåsen op i klienten; Gendan gør ingenting, mens den er låst.
• Gendan den redigerede fil, og angiv eksportadgangskoden.

Kontrollen bør dukke op ved næste login. Hold den eksporterede fil væk fra delte mapper og vedhæftede filer i sager, fordi den beskriver dine tunneler og kan indeholde en krypteret hemmelighed.

Hvis gendannelsen virker, men feltet igen skjuler sig efter forbindelsen, gennemtvinger gatewayen politikken ved hver login, og ingen lokal fil holder indstillingen længe.

Ryd hemmeligheden, før den bliver til en kontolåsning

Linux-klienten til kommandolinjen har slet intet afkrydsningsfelt, så en wrapper, der giver adgangskoden på stdin, er det sædvanlige svar, og den gemmer intet. På enhver platform er den pålidelige fjernelse at skifte forbindelsen tilbage til at spørge ved login eller slette tunnelen helt.

En gemt loginoplysning overlever den adgangskodeændring, der gør den ugyldig, og de resulterende fejl ser ud som et VPN-nedbrud: afvisninger, gentagne forsøg og derefter en kontolåsning. Ryd den gemte værdi, før du skifter en adgangskode, og se tunnelslisten igennem for forældede poster, der stadig bærer en. Hemmeligheden ligger krypteret i klientens lager, så det er formålsløst at redigere den manuelt. At slette tunnelen er hurtigere og efterlader intet.

Gå gennem det i rækkefølge: bekræft portalindstillingen med firewallens ejer, bevis kilden med en tilladende profil, hold ændringer i registreringsdatabasen eller plist inden for et laboratorium, og vid, hvilken fil der holder hemmeligheden, så du kan fjerne den. Et manglende afkrydsningsfelt på en portal, der tillader lagring, er et endpoint-problem, og klientens logfiler er det næste sted at kigge.