Zergatik huts egiten du openfortivpn-eko saio-hasierak portaleko URLa itsasten duzunean

Hutsegiteak kredentzialen arazoa dirudi: openfortivpn-ek pasahitza eskatzen du, bidali egiten du, eta pasabideak ukatze batekin edo saio-hasiera orrirako birbideratze batekin erantzuten du. Orduan erabiltzaileek pasahitza berriz idazten dute, domeinuarekin kualifikatutako kontu-izena probatzen dute eta, azkenean, nabigatzaileko portaleko URLa itsasten dute ostalari-eremuan. Azken urrats horrek bihurtzen du konfigurazio-hutsegite txiki bat nahasgarri.

https://vpn.example.com/ext bezalako Fortinet portaleko helbide batek informazio-zati ugari daramatza aldi berean, eta horietako batzuk soilik dagozkio VPN bezeroari.

Amaierako puntua eta realm-a sarrera bereiziak dira

openfortivpn-ek host edo host:port formako amaierako puntua espero du, kontu batekin eta, inplementazioak bat erabiltzen duenean, realm balio batekin batera. Realm-ak pasabideari esaten dio zein autentifikazio-politika aplikatu kontua ebaluatu aurretik. Eremu bereizi bat da, ez bezeroak URL batetik ateratzen duen atzizkia.

Operadoreak realm-a ext dela baieztatzen duen inplementazio baterako, sekretua ez den dei bat horrela ikusten da: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Balio berak konfigurazio-fitxategian sartzen dira host, port, username eta realm sarrera gisa. Utzi pasahitza bi formetatik kanpo eta utzi bezeroari hura eskatzen, ez dadin shell-historialean edo denek irakur dezaketen fitxategian amaitu. Lehen bezeroak tunela oraindik eusten duen bitartean egindako bigarren saiakerak huts egingo du realm-arekin zerikusirik ez duen arrazoi bategatik.

openfortivpn-eko eskuliburua bi aukerak zerrendatzen ditu, beraz, idazkera zehatza erraza da egiaztatzen laguntzara deitu aurretik. Hala ere, ezin dizu esan zure pasabidean zein realm dagoen konfiguratuta.

Bide-segmentu bat ez da automatikoki realm bat

Portaleko URLe-k era guztietako gauzak biltzen dituzte ostalari-izenaren ondoren: saio-hasierako aplikazio bat, hizkuntza-hautatzaile bat, birbideratze-helmuga bat, saio-identifikatzaile bat. Azken bide-segmentua moztu eta realm deitzea nahikoa sarritan funtzionatzen du arriskutsua izateko. Galdetu operadoreari konfiguratutako balioa edo irakurri zure erakundeak banatzen duen profiletik.

Realm-a ere ez da gauza bera erabiltzaile-izeneko domeinu-atzizkia edo pasabidea dagoen eskualdea. Inplementazio batzuek alice nahi dute, beste batzuek alice@corp nahi dute, eta realm-ak erabakitzen du zein onartuko duen pasabideak. Kontu-formatua aldatzeak realm okerra konpentsatzeko bigarren ukapen bat ematen du normalean, informazio gutxiagokoa.

Ez konpondu realm-aren errore bat ostalaria aldatuta

Ostalari-izena IP helbide batekin ordezkatzea geruza bat kentzea dirudi, eta konpontzen duena baino gehiago hausten du. TLS izenaren baliozkotzeak ziurtagiria bezeroak erabilitako izenarekin alderatzen du, eta IP helbide bat gutxitan agertzen da ziurtagiri baten subjektu-izen alternatiboetan. Zerbitzariaren izenaren adierazlea helbidearekin aldatzen da, beraz, helbide bakarrean hainbat portal ostatatzen dituen pasabideak okerrarekin erantzun dezake. Mantendu ostalari-izena eta konfiantza-konfigurazioa osorik autentifikazio-parametroa zuzentzen duzun bitartean.

Ziurtagiria zure ingurunean fidagarria ez bada, konpondu konfiantza-biltegia edo finkatu nahi den ziurtagiria modu deliberatuan. Realm errore bat saihesteko egiaztapena desgaitzeak saio-hasierako arazo bat isil-gordetako atzemate-arrisku baten truke aldatzen du.

Bereizi ukatuako saio-hasiera eta huts egindako tunela

Autentifikazio-hutsegiteak eta tunel-hutsegiteak une ezberdinetan iristen dira, eta mezuak desberdinak dira. Izenaren ebazpen-errore bat TLS eskuko loturaren aurretik gertatzen da. TLS ukapen bat kredentzialak bidali aurretik gertatzen da. Realm edo kontu ukapen bat HTTP mailako erantzun gisa itzultzen da portaletik. Fase horien ondoren soilik hasten da PPP negoziazioa, eta orduan soilik agertzen dira bideratze eta DNS arazoak.

Realm zuzen batek ez du falta den ibilbiderik sortzen, eta ez du onartzen ez den saio-hasiera metodorik funtzionarazten. Portalak nabigatzailean oinarritutako fluxua eskatzen badu, erabili bezeroak fluxu horretarako onartzen duen bidea, pasahitz-trukea errepikatu eta saioa bat etorriko dela espero beharrean.

Gorde balioak hurrengo abiarazteak aurkituko dituen tokian

Konexio bat lortzen denean, idatzi pasabidea, portua, kontua eta realm-a kudeatutako profilean, shell alias baten ordez. Biltegian edo konfigurazio-kudeaketa sisteman gordetako profilek eragotzi egiten dute hurrengo abiarazteak isilean beste profil baten realm-a hartzea.

Probatu berriro konexio bat hasieratik amaierara eta egiaztatu aplikatutako politika eta benetan behar duzun baliabide baterako sarbidea. Autentifikazioak arrakasta izatea egiaztapen horren hasiera da, ez amaiera.