Miks openfortivpn-i sisselogimine ebaõnnestub, kui kleepite portaali URL-i

Tõrge näeb välja nagu volituste probleem: openfortivpn küsib parooli, saadab selle ja lüüs vastab keeldumisega või suunab tagasi sisselogimislehele. Seejärel sisestavad kasutajad parooli uuesti, proovivad domeeniga kvalifitseeritud kontonime ja kleepivad lõpuks brauseri portaali URL-i hosti väljale. Just see viimane samm muudab väikese konfiguratsioonivea segadust tekitavaks.

Fortineti portaali aadress nagu https://vpn.example.com/ext kannab mitut infotüki korraga ja ainult mõned neist kuuluvad VPN-kliendile.

Lõpp-punkt ja realm on eraldi sisendid

openfortivpn ootab lõpp-punkti kujul host või host:port, lisaks kontot ja, kui juurutus seda kasutab, realmi väärtust. Realm ütleb lüüsile, millist autentimispoliitikat rakendada enne konto hindamist. See on eraldi väli, mitte sufiks, mille klient URL-ist välja parsib.

Juurutuse puhul, mille operaator kinnitab, et realm on ext, näeb mitte-salajane kutse välja selline: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Samad väärtused kuuluvad konfiguratsioonifaili kirjetena host, port, username ja realm. Jätke parool mõlemast vormist välja ja laske kliendil seda küsida, et see ei jõuaks shelli ajalukku ega kõigile loetavasse faili. Teine katse, kui esimene klient alles tunnelit hoiab, ebaõnnestub põhjusel, millel pole realmiga mingit seost.

openfortivpn-i käsiraamat loetleb mõlemad valikud, seega on täpne kirjaviis enne tugiteenusesse helistamist lihtsalt kontrollitav. Siiski ei saa see teile öelda, milline realm on teie lüüsis konfigureeritud.

Teekonna segment ei ole automaatselt realm

Portaali URL-id koguvad hostinime järel igasuguseid asju: sisselogimisrakendust, keelevalijat, ümbersuunamise sihtmärki, sessiooni identifikaatorit. Viimase teekonnasegmendi maha lõikamine ja selle realmiks nimetamine töötab piisavalt sageli, et olla ohtlik. Küsige operaatorilt konfigureeritud väärtust või lugege see profiilist, mida teie organisatsioon levitab.

Realm ei ole ka sama asi kui kasutajanime domeenisufiks või piirkond, kus lüüs asub. Mõned juurutused tahavad alice, teised tahavad alice@corp, ja realm otsustab, millise neist lüüs vastu võtab. Konto vormingu muutmine vale realmi kompenseerimiseks annab tavaliselt teise, vähem informatiivse keeldumise.

Ärge parandage realmi viga hosti muutmisega

Hostinime asendamine IP-aadressiga tundub kihi eemaldamisena ja rikub rohkem, kui parandab. TLS-i nimekontroll võrdleb sertifikaati nimega, mida klient kasutas, ja IP-aadress esineb sertifikaadi alternatiivsetes subjektinimedes harva. Serveri nime indikaator muutub koos aadressiga, seega ühel aadressil mitut portaali majutav lüüs võib vastata vale portaali andmetega. Hoidke hostinimi ja usalduse konfiguratsioon muutumatuna, kuni parandate autentimisparameetrit.

Kui sertifikaat pole teie keskkonnas usaldusväärne, parandage usaldushoidla või kinnitage oodatav sertifikaat teadlikult. Kontrolli väljalülitamine realmi vea möödaminekuks vahetab sisselogimisprobleemi vaikse pealtkuulamise riski vastu.

Eristage tagasi lükatud sisselogimine ebaõnnestunud tunnelist

Autentimise tõrked ja tunneli tõrked saabuvad eri hetkedel ning sõnumid erinevad. Nime lahendamise viga juhtub enne mis tahes TLS-kätlust. TLS-i keeldumine juhtub enne volituste saatmist. Realmi või konto keeldumine tuleb tagasi portaali HTTP-tasandi vastusena. Alles pärast neid etappe algab PPP-läbirääkimine ja alles siis ilmuvad marsruutimise ja DNS-i probleemid.

Õige realm ei loo puuduvat marsruuti ega tee toetamata sisselogimismeetodit toimivaks. Kui portaal nõuab brauseripõhist voogu, kasutage selle voo jaoks kliendi toetatud teed, selle asemel et korrata paroolivahetust ja loota, et sessioon klapib.

Hoidke väärtused seal, kust järgmine käivitus need leiab

Kui ühendus õnnestub, kirjutage lüüs, port, konto ja realm hallatavasse profiili, mitte shelli aliasesse. Hoidlas või konfiguratsioonihaldussüsteemis hoitavad profiilid takistavad järgmisel käivitusel vaikselt teise profiili realmi üle võtmast.

Testige üht ühendust uuesti algusest lõpuni ja kinnitage nii rakendatud poliitika kui ka juurdepääs ressursile, mida tegelikult vajate. Autentimise õnnestumine on selle kontrolli algus, mitte lõpp.