Mankas la markobutono Konservi pasvorton en FortiClient? La enirejo decidas

Vi finas la instaladon de FortiClient, konektiĝas al la SSL VPN de la oficejo kaj serĉas regilon Konservi pasvorton, kiu simple ne estas tie. Reinstali la klienton ne revenigas ĝin, kaj same ne forigi la tunelon kaj aldoni ĝin denove. En SSL VPN-profilo la fajroŝirmilo decidas, ĉu la kliento entute rajtas konservi akreditaĵojn. Mankanta markobutono do kutime signifas, ke politiko venis de la enirejo, ne ke la instalilo malsukcesis.

Tiu distingo gravas antaŭ ol vi komencos redakti dosierojn: unu el tiuj vojoj estas interparolo kun la posedanto de la fajroŝirmilo, kaj la alia estas laboratoria laboro, kiu estos superskribita.

Kontrolu la portalon antaŭ ol tuŝi la finpunkton

Petu tiun, kiu administras la FortiGate, malfermi la SSL VPN-portalon, al kiu via tunelo direktiĝas, kaj legi ĝian agordon pri konservado de pasvortoj. Kiam la opcio estas malŝaltita, oni atendas, ke FortiClient kaŝos la regilon kaj rifuzos konservi la akreditaĵon. La finpunkto obeas la regulon anstataŭ esti difektita.

Unu rapida testo apartigas politikon disde difektita profilo: ensalutu en portalo, kiu ankoraŭ permesas konservadon, poste revenu al via. Se la regilo aperas en la permesa portalo kaj malaperas en la ŝlosita, haltu ĉi tie kaj petu la ŝanĝon ĉe la enirejo. Ĉio sube estas kampa laboro por laboratoria luanto aŭ testa profilo, kaj nenio el ĝi superas la decidon de la servilo. Refreŝigo de profilo aŭ ĝisdatigo de kliento superskribos la lokan redakton.

Windows tenas la flagon ene de la tunela ŝlosilo

Konservitaj tuneloj loĝas sub la nuna uzanto, unu ŝlosilo por konekto, kaj la videbleca flago staras apud la detaloj de la konekto:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Agordu la valoron al 1, eliru el la kliento el la pleto anstataŭ fermi ĝian fenestron, kaj remalfermu ĝin. En konstruoj 5.x la sama flago povis stari sub la branĉo Wow6432Node de HKEY_LOCAL_MACHINE, do rigardu tien, kiam la ŝlosilo por uzanto mankas. Iuj konstruoj 6.x superskribas la valoron post sukcesa konekto, kio klarigas markobutonon, kiu postvivas unu salutan sesion kaj malaperas ĉe la sekva. Se via ŝlosilo tute ne havas tian valoron, kreu ĝin kiel ĉenon anstataŭ diveni aliajn nomojn.

Traktu la registron kiel sencimigan paŝon. La viva stato de la registro estas nevidebla por la sekva administranto, kaj neniu inventara refreŝigo konservos ĝin.

En macOS, spursekvu la klienton por trovi ĝian dosieron

La macOS-kliento tenas agordojn por konekto sub /Library/Application Support/Fortinet/FortiClient/conf, en vortaro por ĉiu tunelo. La ŝlosilo, kiun oni agordu, estas AllowSavePassword, kaj ĝi devas legiĝi kiel 1 dum la aŭtomataj konektaj ŝlosiloj en la sama vortaro restas sendifektaj. Restartigu la klienton, kiam vi finos.

Diveni la ĝustan dosieron malŝparas tempon ĉe nekonata konstruo. Rulu opensnoop dum vi aldonas la tunelon, poste legu la vojojn, kiujn la kliento tuŝis; la dosiero, kiun ĝi skribis, estas tiu, kiu portas la flagon. Redaktu tiun dosieron kun la kliento fermita, kaj la laboro finiĝis. Kvin minutoj da spursekvado superas ĉiufoje serĉadon tra la tuta dosiersistemo.

Preferu ciklon de eksporto, redakto kaj restarigo

Pli novaj klientoj lasas vin pasigi la tutan agordon tra dosiero, kio estas pli facile ripetebla kaj transdonebla al alia maŝino ol viva ĥirurgio de la registro:

• Eksportu el la klientaj agordoj, inkluzivu uzantajn agordojn kaj starigu eksportan pasvorton.
• Malfermu la dosieron kaj agordu show_remember_password al 1.
• Malŝlosu la pendseruron en la kliento; Restarigi faras nenion dum ĝi estas ŝlosita.
• Restarigu la redaktitan dosieron kaj donu la eksportan pasvorton.

La regilo devus aperi ĉe la sekva ensaluto. Tenu la eksportitan dosieron for de komunaj dosierujoj kaj biletaĵaj aldonaĵoj, ĉar ĝi priskribas viajn tunelojn kaj povas porti ĉifritan sekreton.

Se la restarigo funkcias sed la butono denove kaŝiĝas post konekto, la enirejo reasertas la politikon ĉe ĉiu saluto kaj neniu loka dosiero longe tenos la agordon.

Viŝu la sekreton antaŭ ol ĝi fariĝos konta ŝloso

La komandlinia kliento por Linux tute ne havas markobutonon, do ĉirkaŭilo, kiu donas la pasvorton al stdin, estas la kutima respondo kaj ĝi konservas nenion. Sur iu ajn platformo la fidinda forigo estas ŝalti la konekton reen al demando ĉe saluto aŭ tute forigi la tunelon.

Konservita akreditaĵo postvivas la pasvortan ŝanĝon, kiu malvalidigas ĝin, kaj la rezultaj malsukcesoj aspektas kiel VPN-paneo: malakceptoj, ripetoj, poste konta ŝloso. Viŝu la konservitan valoron antaŭ ol rotacii pasvorton kaj trarigardu la tunelan liston por malnovaj eroj, kiuj ankoraŭ portas unu. La sekreto sidas ĉifrita en la klienta konservejo, do redakti ĝin mane estas sencela. Forigi la tunelon estas pli rapide kaj lasas nenion.

Trairu ĝin laŭorde: konfirmu la portalon agordon kun la posedanto de la fajroŝirmilo, pruvu la fonton per permesa profilo, tenu registrajn aŭ plist-redaktojn ene de laboratorio, kaj sciu, kiu dosiero tenas la sekreton, por ke vi povu forigi ĝin. Mankanta markobutono en portalo, kiu permesas konservadon, estas finpunkta problemo, kaj la protokoloj de la kliento estas la sekva loko por rigardi.