FortiClientis puudub parooli salvestamise märkeruut? Otsustab lüüs

Lõpetate FortiClienti paigalduse, ühendate kontori SSL VPN-iga ja otsite parooli salvestamise juhtelementi, mida lihtsalt ei ole. Kliendi uuesti paigaldamine ei too seda tagasi ja ka tunneli kustutamine ning uuesti lisamine ei aita. SSL VPN-profiilis otsustab tulemüür, kas klient tohib üldse volitusi hoida. Puuduv märkeruut tähendab seega tavaliselt, et poliitika saabus lüüsist, mitte et paigaldaja ebaõnnestus.

See vahe on oluline enne, kui hakkate faile muutma: üks neist teedest on vestlus tulemüüri omanikuga ja teine on laboritöö, mis kirjutatakse üle.

Kontrollige portaali enne, kui puudutate lõpp-punkti

Paluge sellel, kes haldab FortiGate'i, avada SSL VPN-portaal, kuhu teie tunnel osutab, ja lugeda selle parooli salvestamise säte. Kui valik on välja lülitatud, eeldatakse, et FortiClient peidab juhtelemendi ja keeldub volitusi salvestamast. Lõpp-punkt kuuletub reeglile, mitte ei ole rikkis.

Üks kiire test eraldab poliitika rikkis profiilist: logige sisse portaali, mis ikka lubab salvestada, ja pöörduge siis tagasi oma portaali. Kui juhtelement ilmub lubavale portaalile ja kaob lukustatud portaalilt, peatuge siin ja küsige lüüsi muudatust. Kõik allpool on välitöö labori rentniku või testprofiili jaoks ja miski sellest ei ole serveri otsusest ülem. Profiili värskendus või kliendi uuendus kirjutab kohaliku muudatuse üle.

Windows hoiab lipu tunnelivõtme sees

Salvestatud tunnelid elavad praeguse kasutaja all, üks võti ühenduse kohta, ja nähtavuslipp asub ühenduse üksikasjade kõrval:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Määrake väärtuseks 1, väljuge kliendist süsteemisalvest, mitte sulgege selle aken, ja avage see uuesti. 5.x versioonides võis sama lipp asuda HKEY_LOCAL_MACHINE'i haru Wow6432Node all, seega vaadake sinna, kui kasutajapõhine võti puudub. Mõned 6.x versioonid kirjutavad väärtuse üle pärast edukat ühendust, mis selgitab märkeruutu, mis jääb ühe sisselogimise üle ja kaob järgmisel. Kui teie võtmel sellist väärtust üldse pole, looge see stringina, mitte ärge oletage muid nimesid.

Käsitlege registrit silumissammuna. Elav registri olek on järgmisele administraatorile nähtamatu ja ükski varaarvestuse värskendus ei säilita seda.

macOS-is jälgige klienti, et leida selle fail

macOS-i klient hoiab ühendusepõhiseid sätteid /Library/Application Support/Fortinet/FortiClient/conf all, iga tunneli jaoks sõnastikus. Seatav võti on AllowSavePassword ja see peab lugema 1, samal ajal kui samas sõnastikus olevad automaatühenduse võtmed jäävad puutumata. Kui olete valmis, taaskäivitage klient.

Täpse faili oletamine raiskab võõra versiooni peal aega. Käivitage opensnoop tunnelit lisades ja lugege siis teed, mida klient puudutas; fail, mille see kirjutas, ongi lippu kandev fail. Muutke seda faili kliendi suletud olekus ja töö on tehtud. Viis minutit jälgimist võidab iga kord kogu failisüsteemi hõlmava otsingu.

Eelistage ekspordi, muutmise ja taastamise tsüklit

Uuemad kliendid lasevad kogu konfiguratsiooni faili kaudu edasi-tagasi lasta, mida on lihtsam korrata ja teise masinasse üle anda kui elavat registrikirurgiat:

• Eksportige kliendi sätetest, kaasake kasutajasätted ja määrake ekspordiparool.
• Avage fail ja määrake show_remember_password väärtuseks 1.
• Avage kliendis tabalukk; Taastamine ei tee midagi, kuni see on lukus.
• Taastage muudetud fail ja sisestage ekspordiparool.

Juhtelement peaks ilmuma järgmisel sisselogimisel. Hoidke eksporditud fail eemal jagatud kaustadest ja piletite manustest, sest see kirjeldab teie tunneleid ja võib kanda krüpteeritud saladust.

Kui taastamine töötab, aga märkeruut peitub pärast ühendamist uuesti, surub lüüs poliitika igal sisselogimisel peale ja ükski kohalik fail ei hoia säte kaua.

Kustutage saladus, enne kui sellest saab konto lukustus

Linuxi käsurea kliendil pole üldse märkeruutu, seega ümbris, mis annab parooli stdinile, on tavaline vastus ja see ei salvesta midagi. Igal platvormil on usaldusväärne eemaldamine ühenduse tagasilülitamine sisselogimisel küsimisele või tunnelist täielik kustutamine.

Salvestatud volitus elab kauem kui selle kehtetuks muutev paroolimuudatus ja sellest tulenevad tõrked näevad välja nagu VPN-i katkestus: tagasilükkamised, korduskatsed, seejärel konto lukustus. Kustutage salvestatud väärtus enne parooli vahetamist ja vaadake tunnelite nimekiri üle vananenud kirjete suhtes, mis seda veel kannavad. Saladus lebab kliendi hoidlas krüpteeritult, seega käsitsi muutmine on mõttetu. Tunneli kustutamine on kiirem ja ei jäta midagi järele.

Käige see järjekorras läbi: kinnitage portaali säte tulemüüri omanikuga, tõestage allikas lubava profiiliga, hoidke registri- või plist-muudatused laboris ja teadke, milline fail saladust hoiab, et saaksite selle eemaldada. Puuduv märkeruut portaalis, mis lubab salvestada, on lõpp-punkti probleem ja kliendi logid on järgmine koht, kuhu vaadata.