Miksi openfortivpn-kirjautuminen epäonnistuu, kun liität portaalin URL-osoitteen

Virhe näyttää tunnistetietojen ongelmalta: openfortivpn kysyy salasanaa, lähettää sen, ja yhdyskäytävä vastaa hylkäyksellä tai ohjaa takaisin kirjautumissivulle. Sitten käyttäjät kirjoittavat salasanan uudelleen, kokeilevat verkkotunnuksella täydennettyä tilin nimeä ja liittävät lopulta selaimen portaalin URL-osoitteen isäntä-kenttään. Juuri tämä viimeinen siirto muuttaa pienen konfigurointivirheen hämmentäväksi.

Fortinet-portaalin osoite kuten https://vpn.example.com/ext kantaa useita tietoja kerralla, ja vain osa niistä kuuluu VPN-asiakasohjelmalle.

Päätepiste ja realm ovat erillisiä syötteitä

openfortivpn odottaa päätepistettä muodossa host tai host:port sekä tiliä ja, kun käyttöönotto sellaista käyttää, realm-arvoa. Realm kertoo yhdyskäytävälle, mitä todentamiskäytäntöä sovelletaan ennen tilin arviointia. Se on erillinen kenttä, ei liite, jonka asiakasohjelma poimii URL-osoitteesta.

Käyttöönotossa, jonka ylläpitäjä vahvistaa realmin olevan ext, ei-salainen kutsu näyttää tältä: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Samat arvot kuuluvat asetustiedostoon merkintöinä host, port, username ja realm. Jätä salasana molempien muotojen ulkopuolelle ja anna asiakasohjelman kysyä sitä, jotta se ei päädy komentotulkin historiaan tai kaikkien luettavissa olevaan tiedostoon. Toinen yritys, kun ensimmäinen asiakasohjelma pitää yhä tunnelia, epäonnistuu syystä, jolla ei ole mitään tekemistä realmin kanssa.

openfortivpn-käsikirja luettelee molemmat vaihtoehdot, joten tarkka kirjoitusasu on helppo vahvistaa ennen tukipuhelua. Se ei kuitenkaan voi kertoa, mikä realm yhdyskäytävääsi on määritetty.

Polun osa ei ole automaattisesti realm

Portaalin URL-osoitteet keräävät isäntänimen perään kaikenlaista: kirjautumissovelluksen, kielivalitsimen, uudelleenohjauksen kohteen, istuntotunnisteen. Viimeisen polun osan leikkaaminen pois ja sen kutsuminen realmiksi toimii riittävän usein ollakseen vaarallista. Kysy ylläpitäjältä määritetty arvo tai lue se profiilista, jota organisaatiosi jakaa.

Realm ei myöskään ole sama asia kuin käyttäjänimen verkkotunnusliite tai alue, jolla yhdyskäytävä sijaitsee. Jotkin käyttöönotot haluavat alice, toiset haluavat alice@corp, ja realm ratkaisee, kumman yhdyskäytävä hyväksyy. Tilin muodon muuttaminen väärän realmin kompensoimiseksi tuottaa yleensä toisen, vähemmän informatiivisen hylkäyksen.

Älä korjaa realm-virhettä vaihtamalla isäntää

Isäntänimen korvaaminen IP-osoitteella tuntuu yhden kerroksen poistamiselta, ja se rikkoo enemmän kuin korjaa. TLS-nimen vahvistus vertaa varmennetta nimeen, jota asiakasohjelma käytti, ja IP-osoite esiintyy harvoin varmenteen vaihtoehtoisissa kohdenimissä. Palvelimen nimen ilmaisin muuttuu osoitteen mukana, joten yhdyskäytävä, joka isännöi useita portaaleja yhdessä osoitteessa, voi vastata väärällä. Pidä isäntänimi ja luottamusasetukset ennallaan, kun korjaat todentamisparametria.

Jos varmenne ei ole luotettu ympäristössäsi, korjaa luottamusvarasto tai kiinnitä odotettu varmenne tarkoituksella. Vahvistuksen poistaminen käytöstä realm-virheen ohittamiseksi vaihtaa kirjautumisongelman hiljaiseen sieppausriskiin.

Erota hylätty kirjautuminen epäonnistuneesta tunnelista

Todennusvirheet ja tunnelivirheet saapuvat eri hetkinä, ja viestit eroavat toisistaan. Nimen selvitysvirhe tapahtuu ennen mitään TLS-kättelyä. TLS-hylkäys tapahtuu ennen tunnistetietojen lähettämistä. Realmin tai tilin hylkäys palaa portaalin HTTP-tason vastauksena. Vasta näiden vaiheiden jälkeen PPP-neuvottelu alkaa, ja vasta silloin ilmaantuvat reititys- ja DNS-ongelmat.

Oikea realm ei luo puuttuvaa reittiä eikä saa tukematonta kirjautumistapaa toimimaan. Jos portaali vaatii selainpohjaista kulkua, käytä asiakasohjelman tukemaa polkua siihen kulkuun sen sijaan, että toistaisit salasanan vaihdon ja toivoisit istunnon täsmäävän.

Säilytä arvot siellä, mistä seuraava käynnistys ne löytää

Kun yhteys onnistuu, kirjoita yhdyskäytävä, portti, tili ja realm hallittuun profiiliin komentotulkin aliaksen sijaan. Tietovarastossa tai konfiguraationhallintajärjestelmässä pidetyt profiilit estävät seuraavaa käynnistystä ottamasta hiljaa toisen profiilin realmia.

Testaa yksi yhteys uudelleen alusta loppuun ja vahvista sekä sovellettu käytäntö että pääsy resurssiin, jota todella tarvitset. Todennuksen onnistuminen on tuon tarkistuksen alku, ei sen loppu.