¿Falta la casilla Guardar contraseña en FortiClient? Decide la puerta de enlace

Termina la instalación de FortiClient, se conecta a la SSL VPN de la oficina y busca un control para guardar la contraseña que sencillamente no está. Reinstalar el cliente no lo devuelve, y borrar el túnel y volver a añadirlo tampoco. En un perfil SSL VPN el cortafuegos decide si el cliente puede siquiera conservar credenciales. Por eso, una casilla ausente suele significar que llegó una política desde la puerta de enlace, no que el instalador haya fallado.

Esa distinción importa antes de empezar a editar archivos: uno de estos caminos es una conversación con el dueño del cortafuegos y el otro es trabajo de laboratorio que se sobrescribirá.

Revise el portal antes de tocar el equipo

Pida a quien administra el FortiGate que abra el portal SSL VPN al que apunta su túnel y lea su ajuste de guardado de contraseña. Cuando la opción está desactivada, se espera que FortiClient oculte el control y se niegue a guardar la credencial. El equipo obedece la regla en lugar de estar averiado.

Una prueba rápida separa la política de un perfil roto: inicie sesión en un portal que todavía permita guardar y luego vuelva al suyo. Si el control aparece en el portal permisivo y desaparece en el bloqueado, deténgase aquí y pida el cambio en la puerta de enlace. Todo lo que sigue es trabajo de campo para un inquilino de laboratorio o un perfil de prueba, y nada supera la decisión del servidor. Una actualización del perfil o del cliente reescribirá la edición local.

Windows guarda la marca dentro de la clave del túnel

Los túneles guardados viven bajo el usuario actual, una clave por conexión, y la marca de visibilidad está junto a los detalles de la conexión:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Ponga el valor en 1, salga del cliente desde la bandeja en lugar de cerrar su ventana y vuelva a abrirlo. En compilaciones 5.x la misma marca podía estar bajo la rama Wow6432Node de HKEY_LOCAL_MACHINE, así que mire ahí cuando falte la clave por usuario. Algunas compilaciones 6.x reescriben el valor tras una conexión correcta, lo que explica una casilla que sobrevive a un inicio de sesión y desaparece en el siguiente. Si su clave no tiene ningún valor así, créelo como cadena en lugar de adivinar otros nombres.

Trate el registro como un paso de depuración. El estado vivo del registro es invisible para el siguiente administrador y ninguna actualización de inventario lo conservará.

En macOS, siga el rastro del cliente para encontrar su archivo

El cliente de macOS guarda los ajustes por conexión en /Library/Application Support/Fortinet/FortiClient/conf, en un diccionario por cada túnel. La clave que hay que definir es AllowSavePassword y debe leerse como 1 mientras las claves de conexión automática de ese mismo diccionario quedan intactas. Reinicie el cliente cuando termine.

Adivinar el archivo exacto pierde tiempo en una compilación desconocida. Ejecute opensnoop mientras añade el túnel y luego lea las rutas que tocó el cliente; el archivo que escribió es el que lleva la marca. Edite ese archivo con el cliente cerrado y el trabajo está hecho. Cinco minutos de rastreo superan cada vez una búsqueda por todo el sistema de archivos.

Prefiera un ciclo de exportar, editar y restaurar

Los clientes más nuevos le permiten pasar toda la configuración por un archivo, algo más fácil de repetir y de entregar a otra máquina que la cirugía en vivo del registro:

• Exporte desde los ajustes del cliente, incluya los ajustes de usuario y defina una contraseña de exportación.
• Abra el archivo y ponga show_remember_password en 1.
• Desbloquee el candado en el cliente; Restaurar no hace nada mientras está bloqueado.
• Restaure el archivo editado y facilite la contraseña de exportación.

El control debería aparecer en el siguiente inicio de sesión. Mantenga el archivo exportado lejos de carpetas compartidas y de adjuntos de tickets, porque describe sus túneles y puede llevar un secreto cifrado.

Si la restauración funciona pero la casilla se esconde otra vez tras conectar, la puerta de enlace reafirma la política en cada inicio de sesión y ningún archivo local mantendrá el ajuste mucho tiempo.

Borre el secreto antes de que se convierta en un bloqueo

El cliente de línea de comandos de Linux no tiene ninguna casilla, así que un envoltorio que pasa la contraseña por stdin es la respuesta habitual y no guarda nada. En cualquier plataforma, la retirada fiable es volver a pedir la contraseña al iniciar sesión o borrar el túnel del todo.

Una credencial guardada sobrevive al cambio de contraseña que la invalida, y los fallos resultantes parecen una caída de la VPN: rechazos, reintentos y luego un bloqueo de la cuenta. Borre el valor guardado antes de rotar una contraseña y revise la lista de túneles en busca de entradas antiguas que aún lleven una. El secreto está cifrado en el almacén del cliente, así que editarlo a mano no sirve de nada. Borrar el túnel es más rápido y no deja nada.

Recórralo en orden: confirme el ajuste del portal con el dueño del cortafuegos, demuestre el origen con un perfil permisivo, mantenga las ediciones del registro o del plist dentro de un laboratorio y sepa qué archivo guarda el secreto para poder retirarlo. Una casilla ausente en un portal que permite guardar es un problema del equipo, y los registros del cliente son el siguiente lugar donde mirar.