FortiClient: Kontrollkästchen zum Speichern des Passworts fehlt? Das Gateway entscheidet

Sie schließen die FortiClient-Installation ab, verbinden sich mit dem SSL VPN des Büros und suchen ein Steuerelement zum Speichern des Passworts, das einfach nicht da ist. Eine Neuinstallation des Clients bringt es nicht zurück, und auch das Löschen des Tunnels und erneutes Hinzufügen nicht. In einem SSL VPN-Profil entscheidet die Firewall, ob der Client überhaupt Anmeldedaten speichern darf. Ein fehlendes Kontrollkästchen bedeutet daher meist, dass eine Richtlinie vom Gateway kam, nicht dass der Installer versagt hat.

Dieser Unterschied zählt, bevor Sie Dateien bearbeiten: Einer dieser Wege ist ein Gespräch mit dem Firewall-Besitzer, der andere ist Laborarbeit, die überschrieben wird.

Prüfen Sie das Portal, bevor Sie den Endpunkt anfassen

Bitten Sie den Verantwortlichen für das FortiGate, das SSL VPN-Portal zu öffnen, auf das Ihr Tunnel zeigt, und dessen Einstellung zum Speichern von Passwörtern zu lesen. Ist die Option deaktiviert, wird von FortiClient erwartet, dass es das Steuerelement verbirgt und das Speichern der Anmeldedaten verweigert. Der Endpunkt folgt der Regel, statt defekt zu sein.

Ein schneller Test trennt Richtlinie von kaputtem Profil: Melden Sie sich an einem Portal an, das Speichern noch erlaubt, und kehren Sie dann zu Ihrem zurück. Erscheint das Steuerelement am erlaubenden Portal und verschwindet am gesperrten, halten Sie hier an und bitten um die Änderung am Gateway. Alles Folgende ist Feldarbeit für einen Labormandanten oder ein Testprofil, und nichts davon steht über der Entscheidung des Servers. Eine Profilaktualisierung oder ein Client-Upgrade überschreibt die lokale Änderung.

Windows hält das Flag im Tunnelschlüssel

Gespeicherte Tunnel liegen unter dem aktuellen Benutzer, ein Schlüssel pro Verbindung, und das Sichtbarkeitsflag sitzt neben den Verbindungsdetails:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Setzen Sie den Wert auf 1, beenden Sie den Client über das Infobereichssymbol, statt sein Fenster zu schließen, und öffnen Sie ihn erneut. In 5.x-Builds konnte dasselbe Flag unter dem Zweig Wow6432Node von HKEY_LOCAL_MACHINE liegen, schauen Sie also dort nach, wenn der Schlüssel pro Benutzer fehlt. Manche 6.x-Builds überschreiben den Wert nach einer erfolgreichen Verbindung, was ein Kontrollkästchen erklärt, das eine Anmeldung überlebt und bei der nächsten verschwindet. Hat Ihr Schlüssel gar keinen solchen Wert, legen Sie ihn als Zeichenfolge an, statt andere Namen zu raten.

Behandeln Sie die Registrierung als Debug-Schritt. Der lebende Zustand ist für den nächsten Administrator unsichtbar, und keine Inventaraktualisierung bewahrt ihn.

Verfolgen Sie unter macOS den Client, um seine Datei zu finden

Der macOS-Client hält Einstellungen pro Verbindung unter /Library/Application Support/Fortinet/FortiClient/conf, in einem Wörterbuch für jeden Tunnel. Der zu setzende Schlüssel ist AllowSavePassword, und er muss als 1 gelesen werden, während die Auto-Connect-Schlüssel im selben Wörterbuch unangetastet bleiben. Starten Sie den Client neu, wenn Sie fertig sind.

Das Erraten der genauen Datei kostet Zeit bei einem unbekannten Build. Führen Sie opensnoop aus, während Sie den Tunnel hinzufügen, und lesen Sie dann die Pfade, die der Client berührt hat; die Datei, die er geschrieben hat, trägt das Flag. Bearbeiten Sie diese Datei bei geschlossenem Client, und die Arbeit ist erledigt. Fünf Minuten Verfolgung schlagen jedes Mal eine Suche im gesamten Dateisystem.

Bevorzugen Sie einen Zyklus aus Export, Bearbeitung und Wiederherstellung

Neuere Clients lassen die gesamte Konfiguration über eine Datei hin und zurück laufen, was leichter zu wiederholen und an einen anderen Rechner weiterzugeben ist als lebende Registrierungschirurgie:

• Exportieren Sie aus den Client-Einstellungen, schließen Sie Benutzereinstellungen ein und vergeben Sie ein Exportpasswort.
• Öffnen Sie die Datei und setzen Sie show_remember_password auf 1.
• Entsperren Sie das Schloss im Client; Wiederherstellen bewirkt nichts, solange es gesperrt ist.
• Stellen Sie die bearbeitete Datei wieder her und geben Sie das Exportpasswort an.

Das Steuerelement sollte bei der nächsten Anmeldung erscheinen. Halten Sie die exportierte Datei von freigegebenen Ordnern und Ticketanhängen fern, denn sie beschreibt Ihre Tunnel und kann ein verschlüsseltes Geheimnis enthalten.

Funktioniert die Wiederherstellung, versteckt sich das Kästchen nach dem Verbinden aber wieder, setzt das Gateway die Richtlinie bei jeder Anmeldung erneut durch, und keine lokale Datei hält die Einstellung lange.

Löschen Sie das Geheimnis, bevor daraus eine Kontosperre wird

Der Linux-Kommandozeilenclient hat gar kein Kontrollkästchen, daher ist ein Wrapper, der das Passwort über stdin einspeist, die übliche Antwort, und er speichert nichts. Auf jeder Plattform besteht die verlässliche Entfernung darin, die Verbindung wieder auf Abfrage bei der Anmeldung umzustellen oder den Tunnel ganz zu löschen.

Gespeicherte Anmeldedaten überleben die Passwortänderung, die sie ungültig macht, und die folgenden Fehler sehen wie ein VPN-Ausfall aus: Ablehnungen, Wiederholungen, dann eine Kontosperre. Löschen Sie den gespeicherten Wert, bevor Sie ein Passwort wechseln, und sehen Sie die Tunnelliste nach veralteten Einträgen durch, die noch eines tragen. Das Geheimnis liegt verschlüsselt im Client-Speicher, daher ist das Bearbeiten von Hand sinnlos. Den Tunnel zu löschen geht schneller und lässt nichts zurück.

Arbeiten Sie es der Reihe nach durch: Bestätigen Sie die Portaleinstellung mit dem Firewall-Besitzer, belegen Sie die Quelle mit einem erlaubenden Profil, halten Sie Registrierungs- oder plist-Eingriffe im Labor, und wissen Sie, welche Datei das Geheimnis hält, damit Sie es entfernen können. Ein fehlendes Kontrollkästchen auf einem Portal, das Speichern erlaubt, ist ein Endpunktproblem, und die Client-Protokolle sind die nächste Stelle zum Nachsehen.