Λείπει το πλαίσιο αποθήκευσης κωδικού στο FortiClient; Αποφασίζει η πύλη

Ολοκληρώνετε την εγκατάσταση του FortiClient, συνδέεστε στο SSL VPN του γραφείου και ψάχνετε έναν έλεγχο αποθήκευσης κωδικού που απλώς δεν υπάρχει. Η επανεγκατάσταση του πελάτη δεν το επαναφέρει, και ούτε η διαγραφή της σήραγγας και η εκ νέου προσθήκη της. Σε ένα προφίλ SSL VPN το τείχος προστασίας αποφασίζει αν ο πελάτης μπορεί καθόλου να αποθηκεύει διαπιστευτήρια. Ένα πλαίσιο που λείπει σημαίνει επομένως συνήθως ότι μια πολιτική ήρθε από την πύλη, όχι ότι απέτυχε ο εγκαταστάτης.

Αυτή η διάκριση μετράει πριν αρχίσετε να επεξεργάζεστε αρχεία: το ένα από αυτά τα μονοπάτια είναι μια συζήτηση με τον ιδιοκτήτη του τείχους προστασίας και το άλλο είναι εργαστηριακή δουλειά που θα αντικατασταθεί.

Ελέγξτε την πύλη πριν αγγίξετε το τελικό σημείο

Ζητήστε από όποιον διαχειρίζεται το FortiGate να ανοίξει την πύλη SSL VPN στην οποία δείχνει η σήραγγά σας και να διαβάσει τη ρύθμιση αποθήκευσης κωδικού. Όταν η επιλογή είναι απενεργοποιημένη, από το FortiClient αναμένεται να κρύψει τον έλεγχο και να αρνηθεί να αποθηκεύσει το διαπιστευτήριο. Το τελικό σημείο υπακούει στον κανόνα αντί να είναι χαλασμένο.

Μια γρήγορη δοκιμή χωρίζει την πολιτική από ένα χαλασμένο προφίλ: συνδεθείτε σε μια πύλη που επιτρέπει ακόμη αποθήκευση και μετά επιστρέψτε στη δική σας. Αν ο έλεγχος εμφανίζεται στην επιτρεπτική πύλη και εξαφανίζεται στην κλειδωμένη, σταματήστε εδώ και ζητήστε την αλλαγή στην πύλη. Όλα τα παρακάτω είναι επιτόπια εργασία για εργαστηριακό μισθωτή ή δοκιμαστικό προφίλ και τίποτα δεν υπερτερεί της απόφασης του διακομιστή. Μια ανανέωση προφίλ ή αναβάθμιση πελάτη θα ξαναγράψει την τοπική αλλαγή.

Τα Windows κρατούν τη σημαία μέσα στο κλειδί της σήραγγας

Οι αποθηκευμένες σήραγγες ζουν κάτω από τον τρέχοντα χρήστη, ένα κλειδί ανά σύνδεση, και η σημαία ορατότητας κάθεται δίπλα στις λεπτομέρειες της σύνδεσης:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Ορίστε την τιμή σε 1, βγείτε από τον πελάτη από τη δίσκο αντί να κλείσετε το παράθυρό του και ανοίξτε τον ξανά. Στις εκδόσεις 5.x η ίδια σημαία μπορούσε να βρίσκεται κάτω από τον κλάδο Wow6432Node του HKEY_LOCAL_MACHINE, οπότε κοιτάξτε εκεί όταν λείπει το κλειδί ανά χρήστη. Μερικές εκδόσεις 6.x ξαναγράφουν την τιμή μετά από επιτυχή σύνδεση, κάτι που εξηγεί ένα πλαίσιο που επιβιώνει μια σύνδεση και εξαφανίζεται στην επόμενη. Αν το κλειδί σας δεν έχει καθόλου τέτοια τιμή, δημιουργήστε την ως συμβολοσειρά αντί να μαντεύετε άλλα ονόματα.

Αντιμετωπίστε το μητρώο ως βήμα αποσφαλμάτωσης. Η ζωντανή κατάσταση του μητρώου είναι αόρατη στον επόμενο διαχειριστή και καμία ανανέωση απογραφής δεν θα τη διατηρήσει.

Στο macOS, ιχνηλατήστε τον πελάτη για να βρείτε το αρχείο του

Ο πελάτης macOS κρατά ρυθμίσεις ανά σύνδεση κάτω από το /Library/Application Support/Fortinet/FortiClient/conf, σε ένα λεξικό για κάθε σήραγγα. Το κλειδί που πρέπει να οριστεί είναι AllowSavePassword και πρέπει να διαβάζεται ως 1 ενώ τα κλειδιά αυτόματης σύνδεσης στο ίδιο λεξικό μένουν άθικτα. Επανεκκινήστε τον πελάτη όταν τελειώσετε.

Το να μαντεύετε το ακριβές αρχείο χάνει χρόνο σε μια άγνωστη έκδοση. Τρέξτε opensnoop καθώς προσθέτετε τη σήραγγα και μετά διαβάστε τις διαδρομές που άγγιξε ο πελάτης· το αρχείο που έγραψε είναι αυτό που φέρει τη σημαία. Επεξεργαστείτε αυτό το αρχείο με τον πελάτη κλειστό και η δουλειά τελείωσε. Πέντε λεπτά ιχνηλάτησης νικούν κάθε φορά μια αναζήτηση σε όλο το σύστημα αρχείων.

Προτιμήστε έναν κύκλο εξαγωγής, επεξεργασίας και επαναφοράς

Οι νεότεροι πελάτες σας αφήνουν να περάσετε όλη τη διαμόρφωση μέσα από ένα αρχείο, κάτι που επαναλαμβάνεται και παραδίδεται σε άλλο μηχάνημα ευκολότερα από τη ζωντανή χειρουργική του μητρώου:

• Εξαγάγετε από τις ρυθμίσεις του πελάτη, συμπεριλάβετε τις ρυθμίσεις χρήστη και ορίστε κωδικό εξαγωγής.
• Ανοίξτε το αρχείο και ορίστε το show_remember_password σε 1.
• Ξεκλειδώστε το λουκέτο στον πελάτη· Η Επαναφορά δεν κάνει τίποτα όσο είναι κλειδωμένο.
• Επαναφέρετε το επεξεργασμένο αρχείο και δώστε τον κωδικό εξαγωγής.

Ο έλεγχος θα πρέπει να εμφανιστεί στην επόμενη σύνδεση. Κρατήστε το εξαγόμενο αρχείο μακριά από κοινόχρηστους φακέλους και συνημμένα δελτίων, γιατί περιγράφει τις σήραγγές σας και μπορεί να φέρει κρυπτογραφημένο μυστικό.

Αν η επαναφορά δουλέψει αλλά το πλαίσιο κρυφτεί ξανά μετά τη σύνδεση, η πύλη επιβάλλει εκ νέου την πολιτική σε κάθε σύνδεση και κανένα τοπικό αρχείο δεν θα κρατήσει τη ρύθμιση για πολύ.

Σβήστε το μυστικό πριν μετατραπεί σε κλείδωμα λογαριασμού

Ο πελάτης γραμμής εντολών του Linux δεν έχει καθόλου πλαίσιο, οπότε ένα περιτύλιγμα που τροφοδοτεί τον κωδικό στο stdin είναι η συνηθισμένη απάντηση και δεν αποθηκεύει τίποτα. Σε κάθε πλατφόρμα η αξιόπιστη αφαίρεση είναι να γυρίσετε τη σύνδεση πίσω σε ερώτηση κατά τη σύνδεση ή να διαγράψετε εντελώς τη σήραγγα.

Ένα αποθηκευμένο διαπιστευτήριο ζει περισσότερο από την αλλαγή κωδικού που το ακυρώνει, και οι αποτυχίες που προκύπτουν μοιάζουν με διακοπή VPN: απορρίψεις, επαναλήψεις και μετά κλείδωμα λογαριασμού. Σβήστε την αποθηκευμένη τιμή πριν αλλάξετε κωδικό και κοιτάξτε τη λίστα σηράγγων για παλιές καταχωρίσεις που ακόμη κρατούν μία. Το μυστικό κάθεται κρυπτογραφημένο στο χώρο αποθήκευσης του πελάτη, οπότε η χειροκίνητη επεξεργασία είναι άσκοπη. Η διαγραφή της σήραγγας είναι ταχύτερη και δεν αφήνει τίποτα.

Προχωρήστε με σειρά: επιβεβαιώστε τη ρύθμιση της πύλης με τον ιδιοκτήτη του τείχους προστασίας, αποδείξτε την πηγή με ένα επιτρεπτικό προφίλ, κρατήστε τις επεξεργασίες μητρώου ή plist μέσα σε εργαστήριο και ξέρετε ποιο αρχείο κρατά το μυστικό για να μπορείτε να το αφαιρέσετε. Ένα πλαίσιο που λείπει σε πύλη που επιτρέπει αποθήκευση είναι πρόβλημα τελικού σημείου και τα αρχεία καταγραφής του πελάτη είναι το επόμενο μέρος για να κοιτάξετε.