Γιατί αποτυγχάνει η σύνδεση του openfortivpn όταν επικολλάτε τη διεύθυνση URL της πύλης

Η αποτυχία μοιάζει με πρόβλημα διαπιστευτηρίων: το openfortivpn ζητά τον κωδικό πρόσβασης, τον στέλνει και η πύλη απαντά με απόρριψη ή με ανακατεύθυνση πίσω στη σελίδα σύνδεσης. Έπειτα οι χρήστες πληκτρολογούν ξανά τον κωδικό, δοκιμάζουν το όνομα λογαριασμού με το domain και τελικά επικολλούν τη διεύθυνση URL της πύλης από το πρόγραμμα περιήγησης στο πεδίο host. Αυτή η τελευταία κίνηση είναι που μετατρέπει ένα μικρό σφάλμα ρύθμισης σε μπερδεμένο.

Μια διεύθυνση πύλης Fortinet όπως η https://vpn.example.com/ext μεταφέρει πολλά στοιχεία πληροφορίας ταυτόχρονα, και μόνο μερικά από αυτά ανήκουν στον πελάτη VPN.

Το τελικό σημείο και το realm είναι ξεχωριστές είσοδοι

Το openfortivpn περιμένει ένα τελικό σημείο σε μορφή host ή host:port, μαζί με λογαριασμό και, όπου η ανάπτυξη χρησιμοποιεί ένα, μια τιμή realm. Το realm λέει στην πύλη ποια πολιτική ταυτοποίησης να εφαρμόσει πριν αξιολογήσει τον λογαριασμό. Είναι ξεχωριστό πεδίο, όχι κατάληξη που εξάγει ο πελάτης από μια διεύθυνση URL.

Για μια ανάπτυξη της οποίας ο διαχειριστής επιβεβαιώνει ότι το realm είναι ext, μια κλήση χωρίς μυστικά μοιάζει έτσι: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Οι ίδιες τιμές ανήκουν στο αρχείο ρύθμισης ως καταχωρίσεις host, port, username και realm. Αφήστε τον κωδικό έξω και από τις δύο μορφές και αφήστε τον πελάτη να τον ζητήσει, ώστε να μην καταλήξει στο ιστορικό του κελύφους ή σε αρχείο αναγνώσιμο από όλους. Μια δεύτερη προσπάθεια ενώ ο πρώτος πελάτης κρατά ακόμη τη σήραγγα θα αποτύχει για λόγο που δεν έχει καμία σχέση με το realm.

Το εγχειρίδιο του openfortivpn απαριθμεί και τις δύο επιλογές, οπότε η ακριβής γραφή ελέγχεται εύκολα πριν από κλήση στην υποστήριξη. Δεν μπορεί όμως να σας πει ποιο realm έχει ρυθμιστεί στην πύλη σας.

Ένα τμήμα διαδρομής δεν είναι αυτόματα realm

Οι διευθύνσεις URL πυλών συγκεντρώνουν κάθε λογής πράγματα μετά το όνομα κεντρικού υπολογιστή: μια εφαρμογή σύνδεσης, έναν επιλογέα γλώσσας, έναν στόχο ανακατεύθυνσης, ένα αναγνωριστικό συνεδρίας. Το κόψιμο του τελευταίου τμήματος διαδρομής και η ονομασία του ως realm δουλεύει αρκετά συχνά ώστε να είναι επικίνδυνο. Ρωτήστε τον διαχειριστή για τη ρυθμισμένη τιμή ή διαβάστε την από το προφίλ που διανέμει ο οργανισμός σας.

Το realm επίσης δεν είναι το ίδιο πράγμα με μια κατάληξη domain στο όνομα χρήστη ή με την περιοχή όπου βρίσκεται η πύλη. Ορισμένες αναπτύξεις θέλουν alice, άλλες θέλουν alice@corp, και το realm καθορίζει ποιο από αυτά θα δεχτεί η πύλη. Η αλλαγή της μορφής λογαριασμού για να αντισταθμιστεί ένα λάθος realm παράγει συνήθως μια δεύτερη, λιγότερο κατατοπιστική απόρριψη.

Μην διορθώνετε σφάλμα realm αλλάζοντας το host

Η αντικατάσταση του ονόματος κεντρικού υπολογιστή με διεύθυνση IP μοιάζει με αφαίρεση ενός στρώματος και χαλάει περισσότερα από όσα διορθώνει. Η επικύρωση ονόματος TLS συγκρίνει το πιστοποιητικό με το όνομα που χρησιμοποίησε ο πελάτης, και μια διεύθυνση IP σπάνια εμφανίζεται στα εναλλακτικά ονόματα υποκειμένου ενός πιστοποιητικού. Η ένδειξη ονόματος διακομιστή αλλάζει μαζί με τη διεύθυνση, οπότε μια πύλη που φιλοξενεί πολλές πύλες σε μία διεύθυνση μπορεί να απαντήσει με τη λάθος. Κρατήστε το όνομα κεντρικού υπολογιστή και τη ρύθμιση εμπιστοσύνης άθικτα όσο διορθώνετε την παράμετρο ταυτοποίησης.

Αν το πιστοποιητικό δεν είναι αξιόπιστο στο περιβάλλον σας, διορθώστε το χώρο αποθήκευσης εμπιστοσύνης ή καρφώστε σκόπιμα το αναμενόμενο πιστοποιητικό. Η απενεργοποίηση της επαλήθευσης για να παρακάμψετε σφάλμα realm ανταλλάσσει ένα πρόβλημα σύνδεσης με κίνδυνο σιωπηρής υποκλοπής.

Διαχωρίστε μια απορριφθείσα σύνδεση από μια αποτυχημένη σήραγγα

Οι αποτυχίες ταυτοποίησης και οι αποτυχίες σήραγγας φτάνουν σε διαφορετικές στιγμές, και τα μηνύματα διαφέρουν. Ένα σφάλμα επίλυσης ονόματος συμβαίνει πριν από οποιαδήποτε χειραψία TLS. Μια απόρριψη TLS συμβαίνει πριν σταλούν τα διαπιστευτήρια. Μια απόρριψη realm ή λογαριασμού επιστρέφει ως απάντηση σε επίπεδο HTTP από την πύλη. Μόνο μετά από αυτά τα στάδια αρχίζει η διαπραγμάτευση PPP, και μόνο τότε εμφανίζονται προβλήματα δρομολόγησης και DNS.

Ένα σωστό realm δεν δημιουργεί μια διαδρομή που λείπει και δεν κάνει λειτουργική μια μη υποστηριζόμενη μέθοδο σύνδεσης. Αν η πύλη επιμένει σε ροή μέσω προγράμματος περιήγησης, χρησιμοποιήστε την υποστηριζόμενη από τον πελάτη διαδρομή για αυτή τη ροή αντί να επαναλαμβάνετε μια ανταλλαγή κωδικού και να ελπίζετε ότι η συνεδρία θα ταιριάξει.

Κρατήστε τις τιμές εκεί όπου θα τις βρει η επόμενη εκκίνηση

Μόλις μια σύνδεση πετύχει, γράψτε την πύλη, τη θύρα, τον λογαριασμό και το realm στο διαχειριζόμενο προφίλ αντί για ψευδώνυμο κελύφους. Τα προφίλ που φυλάσσονται σε αποθετήριο ή σε σύστημα διαχείρισης ρυθμίσεων εμποδίζουν την επόμενη εκκίνηση να πάρει σιωπηρά το realm άλλου προφίλ.

Δοκιμάστε ξανά μία σύνδεση από άκρη σε άκρη και επιβεβαιώστε και την πολιτική που εφαρμόστηκε και την πρόσβαση σε έναν πόρο που πραγματικά χρειάζεστε. Η επιτυχία της ταυτοποίησης είναι η αρχή αυτού του ελέγχου, όχι το τέλος του.