FortiClientin Tallenna salasana -ruutu puuttuu? Yhdyskäytävä päättää

Viimeistelet FortiClientin asennuksen, yhdistät toimiston SSL VPN -yhteyteen ja etsit salasanan tallennuksen säätöä, jota ei yksinkertaisesti ole. Asiakasohjelman uudelleenasennus ei tuo sitä takaisin, eikä tunnelin poistaminen ja uudelleen lisääminen auta. SSL VPN -profiilissa palomuuri päättää, saako asiakasohjelma ylipäätään säilyttää tunnistetietoja. Puuttuva valintaruutu tarkoittaa siis yleensä sitä, että käytäntö tuli yhdyskäytävältä, ei sitä että asentaja epäonnistui.

Tällä erolla on väliä ennen kuin alat muokata tiedostoja: toinen näistä poluista on keskustelu palomuurin omistajan kanssa ja toinen on laboratoriotyötä, joka ylikirjoitetaan.

Tarkista portaali ennen kuin kosket päätepistettä

Pyydä FortiGatea ylläpitävää henkilöä avaamaan SSL VPN -portaali, johon tunnelisi osoittaa, ja lukemaan sen salasanan tallennuksen asetus. Kun asetus on pois päältä, FortiClientin odotetaan piilottavan säätimen ja kieltäytyvän tallentamasta tunnistetietoja. Päätepiste tottelee sääntöä sen sijaan, että olisi rikki.

Yksi nopea koe erottaa käytännön rikkinäisestä profiilista: kirjaudu portaaliin, joka vielä sallii tallennuksen, ja palaa sitten omaasi. Jos säädin näkyy sallivassa portaalissa ja katoaa lukitusta, pysähdy tähän ja pyydä muutosta yhdyskäytävälle. Kaikki alla oleva on kenttätyötä laboratorian vuokralaiselle tai testiprofiilille, eikä mikään siitä mene palvelimen päätöksen edelle. Profiilin päivitys tai asiakasohjelman päivitys kirjoittaa paikallisen muutoksen yli.

Windows pitää lipun tunneliavaimen sisällä

Tallennetut tunnelit elävät nykyisen käyttäjän alla, yksi avain yhteyttä kohden, ja näkyvyyslippu istuu yhteyden tietojen vieressä:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Aseta arvoksi 1, poistu asiakasohjelmasta ilmaisinalueelta sen sijaan että sulkisit ikkunan, ja avaa se uudelleen. 5.x-versioissa sama lippu saattoi olla HKEY_LOCAL_MACHINE-avaimen Wow6432Node-haaran alla, joten katso sinne, kun käyttäjäkohtainen avain puuttuu. Jotkin 6.x-versiot kirjoittavat arvon uudelleen onnistuneen yhteyden jälkeen, mikä selittää valintaruudun, joka kestää yhden kirjautumisen ja katoaa seuraavalla. Jos avaimessasi ei ole lainkaan tällaista arvoa, luo se merkkijonona sen sijaan että arvaisit muita nimiä.

Kohtele rekisteriä vianmääritysaskeleena. Elävä rekisterin tila on näkymätön seuraavalle ylläpitäjälle, eikä mikään laiteluettelon päivitys säilytä sitä.

Jäljitä macOS:ssä asiakasohjelmaa löytääksesi sen tiedoston

macOS-asiakasohjelma pitää yhteyksikohtaiset asetukset polun /Library/Application Support/Fortinet/FortiClient/conf alla, jokaiselle tunnelille omassa sanakirjassaan. Asetettava avain on AllowSavePassword, ja sen pitää lukea 1, kun saman sanakirjan automaattiyhteyden avaimet pysyvät ehjinä. Käynnistä asiakasohjelma uudelleen, kun olet valmis.

Tarkan tiedoston arvaaminen tuhlaa aikaa tuntemattomassa versiossa. Aja opensnoop, kun lisäät tunnelia, ja lue sitten polut, joihin asiakasohjelma koski; tiedosto, jonka se kirjoitti, on se joka kantaa lipun. Muokkaa sitä tiedostoa asiakasohjelman ollessa kiinni, ja työ on tehty. Viisi minuuttia jäljitystä voittaa joka kerta koko tiedostojärjestelmän haun.

Suosi viennin, muokkauksen ja palautuksen kierrosta

Uudemmat asiakasohjelmat antavat viedä koko kokoonpanon tiedoston kautta edestakaisin, mikä on helpompi toistaa ja antaa toiselle koneelle kuin elävä rekisterikirurgia:

• Vie asiakasohjelman asetuksista, sisällytä käyttäjäasetukset ja aseta vientisalasana.
• Avaa tiedosto ja aseta show_remember_password arvoon 1.
• Avaa lukko asiakasohjelmassa; Palautus ei tee mitään, kun se on lukittu.
• Palauta muokattu tiedosto ja anna vientisalasana.

Säätimen pitäisi ilmestyä seuraavalla kirjautumisella. Pidä viety tiedosto poissa jaetuista kansioista ja tikettien liitteistä, koska se kuvaa tunnelisi ja voi sisältää salatun salaisuuden.

Jos palautus toimii mutta ruutu piiloutuu taas yhteyden jälkeen, yhdyskäytävä vahvistaa käytännön joka kirjautumisella, eikä mikään paikallinen tiedosto pidä asetusta kauan.

Poista salaisuus ennen kuin siitä tulee tilin lukitus

Linuxin komentoriviasiakasohjelmassa ei ole lainkaan valintaruutua, joten stdiniin salasanan syöttävä kääre on tavallinen vastaus eikä se tallenna mitään. Millä tahansa alustalla luotettava poisto on yhteyden palauttaminen kysymään kirjautumisessa tai tunnelin poistaminen kokonaan.

Tallennettu tunnistetieto elää pidempään kuin sen mitätöivä salasanan vaihto, ja siitä seuraavat viat näyttävät VPN-katkokselta: hylkäyksiä, uudelleenyrityksiä ja sitten tilin lukitus. Poista tallennettu arvo ennen salasanan vaihtoa ja käy tunnelilista läpi vanhentuneiden merkintöjen varalta, joissa sellainen vielä on. Salaisuus on asiakasohjelman säilössä salattuna, joten sen muokkaaminen käsin on turhaa. Tunnelin poistaminen on nopeampaa eikä jätä mitään jäljelle.

Käy se läpi järjestyksessä: vahvista portaalin asetus palomuurin omistajan kanssa, todista lähde sallivalla profiililla, pidä rekisteri- tai plist-muokkaukset laboratoriossa ja tiedä, mikä tiedosto pitää salaisuuden, jotta voit poistaa sen. Puuttuva valintaruutu portaalissa, joka sallii tallennuksen, on päätepisteen ongelma, ja asiakasohjelman lokit ovat seuraava paikka katsoa.