Case Enregistrer le mot de passe absente dans FortiClient ? C'est la passerelle qui décide

Vous terminez l'installation de FortiClient, vous vous connectez au SSL VPN du bureau et vous cherchez une commande d'enregistrement du mot de passe qui n'est tout simplement pas là. Réinstaller le client ne la fait pas revenir, et supprimer le tunnel puis le rajouter non plus. Dans un profil SSL VPN, le pare-feu décide si le client peut seulement conserver des identifiants. Une case absente signifie donc généralement qu'une stratégie est arrivée de la passerelle, pas que l'installateur a échoué.

Cette distinction compte avant de commencer à modifier des fichiers : l'un de ces chemins est une conversation avec le propriétaire du pare-feu, l'autre est un travail de laboratoire qui sera écrasé.

Vérifiez le portail avant de toucher au poste

Demandez à la personne qui administre le FortiGate d'ouvrir le portail SSL VPN vers lequel pointe votre tunnel et d'en lire le réglage d'enregistrement du mot de passe. Quand l'option est désactivée, FortiClient est censé masquer la commande et refuser de stocker l'identifiant. Le poste obéit à la règle plutôt que d'être en panne.

Un test rapide sépare la stratégie d'un profil cassé : connectez-vous à un portail qui autorise encore l'enregistrement, puis revenez au vôtre. Si la commande apparaît sur le portail permissif et disparaît sur celui qui est verrouillé, arrêtez-vous ici et demandez le changement côté passerelle. Tout ce qui suit est du travail de terrain pour un locataire de laboratoire ou un profil de test, et rien ne prime sur la décision du serveur. Un rafraîchissement de profil ou une mise à jour du client réécrira la modification locale.

Windows garde l'indicateur dans la clé du tunnel

Les tunnels enregistrés vivent sous l'utilisateur courant, une clé par connexion, et l'indicateur de visibilité se trouve à côté des détails de la connexion :

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Mettez la valeur à 1, quittez le client depuis la zone de notification au lieu de fermer sa fenêtre, puis rouvrez-le. Dans les versions 5.x, le même indicateur pouvait se trouver sous la branche Wow6432Node de HKEY_LOCAL_MACHINE, alors regardez là quand la clé par utilisateur est absente. Certaines versions 6.x réécrivent la valeur après une connexion réussie, ce qui explique une case qui survit à une connexion et disparaît à la suivante. Si votre clé n'a aucune valeur de ce genre, créez-la en tant que chaîne au lieu de deviner d'autres noms.

Traitez le registre comme une étape de débogage. L'état vivant du registre est invisible pour l'administrateur suivant, et aucun rafraîchissement d'inventaire ne le préservera.

Sur macOS, tracez le client pour trouver son fichier

Le client macOS conserve les réglages par connexion sous /Library/Application Support/Fortinet/FortiClient/conf, dans un dictionnaire pour chaque tunnel. La clé à définir est AllowSavePassword, et elle doit valoir 1 tandis que les clés de connexion automatique du même dictionnaire restent intactes. Redémarrez le client quand vous avez terminé.

Deviner le fichier exact fait perdre du temps sur une version inconnue. Lancez opensnoop pendant que vous ajoutez le tunnel, puis lisez les chemins que le client a touchés ; le fichier qu'il a écrit est celui qui porte l'indicateur. Modifiez ce fichier client fermé et le travail est terminé. Cinq minutes de traçage battent chaque fois une recherche sur tout le système de fichiers.

Préférez un cycle d'export, de modification et de restauration

Les clients plus récents vous laissent faire passer toute la configuration par un fichier, ce qui est plus facile à répéter et à confier à une autre machine que la chirurgie du registre en direct :

• Exportez depuis les réglages du client, incluez les réglages utilisateur et définissez un mot de passe d'export.
• Ouvrez le fichier et mettez show_remember_password à 1.
• Déverrouillez le cadenas dans le client ; Restaurer ne fait rien tant qu'il est verrouillé.
• Restaurez le fichier modifié et fournissez le mot de passe d'export.

La commande devrait apparaître à la prochaine connexion. Gardez le fichier exporté loin des dossiers partagés et des pièces jointes de tickets, car il décrit vos tunnels et peut porter un secret chiffré.

Si la restauration fonctionne mais que la case se cache de nouveau après la connexion, la passerelle réimpose la stratégie à chaque connexion et aucun fichier local ne tiendra le réglage longtemps.

Effacez le secret avant qu'il ne devienne un verrouillage

Le client en ligne de commande sous Linux n'a aucune case, donc un script qui fournit le mot de passe sur stdin est la réponse habituelle et il ne stocke rien. Sur toute plateforme, la suppression fiable consiste à remettre la connexion en mode demande à la connexion ou à supprimer le tunnel purement et simplement.

Un identifiant enregistré survit au changement de mot de passe qui l'invalide, et les échecs qui en résultent ressemblent à une panne de VPN : refus, nouvelles tentatives, puis verrouillage du compte. Effacez la valeur stockée avant de changer un mot de passe et parcourez la liste des tunnels pour repérer les entrées anciennes qui en portent encore une. Le secret est chiffré dans le magasin du client, donc l'éditer à la main ne sert à rien. Supprimer le tunnel est plus rapide et ne laisse rien derrière.

Procédez dans l'ordre : confirmez le réglage du portail avec le propriétaire du pare-feu, prouvez la source avec un profil permissif, gardez les modifications du registre ou du plist dans un laboratoire et sachez quel fichier porte le secret pour pouvoir le retirer. Une case absente sur un portail qui autorise l'enregistrement est un problème de poste, et les journaux du client sont le prochain endroit où regarder.