FortiClient: fakje Wachtwurd bewarje mist? De gateway beslút

Jo meitsje de ynstallaasje fan FortiClient klear, ferbine jo mei de SSL VPN fan kantoar en sykje in bestring Wachtwurd bewarje dy't der gewoan net is. De klient op 'e nij ynstallearje bringt it net werom, en it fuortsmiten fan 'e tunnel en it op 'e nij tafoegjen ek net. Yn in SSL VPN-profyl beslút de firewall oft de klient oait oanmeldgegevens bewarje mei. In ûntbrekkend fakje betsjut dus meast dat der in belied fan 'e gateway kaam, net dat de ynstallearder mislearre.

Dat ûnderskie is fan belang foardat jo bestannen begjinne te bewurkjen: ien fan dizze paden is in petear mei de eigner fan 'e firewall, en it oare is laboratoariumwurk dat oerskreaun wurdt.

Kontrolearje de portal foardat jo it einpunt oanreitsje

Freegje wa't de FortiGate beheart de SSL VPN-portal te iepenjen dêr't jo tunnel nei wiist en de ynstelling foar wachtwurdbewarring te lêzen. As de opsje útskeakele is, wurdt fan FortiClient ferwachte dat it de bestring ferberget en wegeret it oanmeldgegevens te bewarjen. It einpunt folget de regel yn stee fan defek te wêzen.

Ien flugge test skiedt belied fan in stikken profyl: meld jo oan by in portal dy't bewarjen noch tastiet en gean dan werom nei jo eigen. As de bestring ferskynt op 'e tasteande portal en ferdwynt op 'e besletten, stopje hjir en freegje om 'e feroaring by de gateway. Alles hjirûnder is fjildwurk foar in laboratoariumhierder of in testprofyl, en neat dêrfan giet boppe it beslút fan 'e server. In profylfernijing of in klientupgrade sil de lokale bewurking oerskriuwe.

Windows hâldt de flagge yn 'e tunnelsleutel

Bewarre tunnels libje ûnder de hjoeddeiske brûker, ien sleutel per ferbining, en de sichtberensflagge sit njonken de bysûnderheden fan 'e ferbining:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Set de wearde op 1, ferlitte de klient fan 'e systeemlade yn stee fan syn finster te sluten, en iepenje him wer. Yn 5.x-builds koe deselde flagge ûnder de Wow6432Node-tûke fan HKEY_LOCAL_MACHINE sitte, dus sjoch dêr as de sleutel per brûker ûntbrekt. Guon 6.x-builds oerskriuwe de wearde nei in suksesfolle ferbining, wat in fakje ferklearret dat ien oanmelding oerlibbet en by de folgjende ferdwynt. As jo sleutel hielendal gjin sa'n wearde hat, meitsje dy dan oan as tekenrige yn stee fan oare nammen te rieden.

Behannelje it register as in debugstap. De libbene tastân fan it register is ûnsichtber foar de folgjende behearder, en gjin ynventarisfernijing bewarret him.

Op macOS, folgje de klient om syn bestân te finen

De macOS-klient hâldt ynstellingen per ferbining ûnder /Library/Application Support/Fortinet/FortiClient/conf, yn in wurdboek foar elke tunnel. De sleutel dy't ynsteld wurde moat is AllowSavePassword, en dy moat 1 lêze wylst de autoforbiningssleutels yn itselde wurdboek yntakt bliuwe. Start de klient op 'e nij as jo klear binne.

It rieden fan it krekte bestân kostet tiid op in ûnbekende build. Rin opensnoop wylst jo de tunnel tafoegje, en lês dan de paden dy't de klient oanrekke hat; it bestân dat er skreau is it bestân dat de flagge draacht. Bewurkje dat bestân mei de klient ticht en it wurk is dien. Fiif minuten folgjen ferslacht elke kear in syktocht troch it hiele bestânssysteem.

Ferkies in syklus fan eksportearje, bewurkje en weromsette

Nijere kliïnten litte jo de hiele konfiguraasje troch in bestân hinne en wer gean, wat makliker te werheljen en oan in oare masine te jaan is as libbene registerkirurgy:

• Eksportearje fan 'e klientynstellingen, nim brûkersynstellingen op, en set in eksportwachtwurd.
• Iepenje it bestân en set show_remember_password op 1.
• Untskoattelje it hangslot yn 'e klient; Weromsette docht neat wylst it besletten is.
• Set it bewurke bestân werom en jou it eksportwachtwurd.

De bestring soe by de folgjende oanmelding ferskine moatte. Hâld it eksportearre bestân fuort fan dielde mappen en ticketsbytaksels, want it beskriuwt jo tunnels en kin in fersifere geheim drage.

As it weromsetten wurket mar it fakje ferskûlet him nei it ferbinen wer, twingt de gateway by elke oanmelding it belied ôf en gjin lokaal bestân sil de ynstelling lang hâlde.

Wiskje it geheim foardat it in kontoblokkade wurdt

De Linux-klient foar de opdrachtline hat hielendal gjin fakje, dus in wrapper dy't it wachtwurd op stdin jout is it gewoane antwurd en hy bewarret neat. Op elk platfoarm is de betroubere ferwidering it ferbinen werom te setten nei freegje by oanmelding of de tunnel hielendal te wiskjen.

In bewarre oanmeldgegevens oerlibbet de wachtwurdferoaring dy't it ûnjildich makket, en de resultearjende flaters lykje op in VPN-ûnderbrekking: wegere oanfragen, nije besykjen, dan in kontoblokkade. Wiskje de bewarre wearde foardat jo in wachtwurd feroarje, en sjoch de tunnel list troch foar ferâldere yngongen dy't der noch ien drage. It geheim sit fersifere yn 'e klientopslach, dus it mei de hân bewurkje is sinleas. De tunnel wiskje is flugger en lit neat efter.

Wurkje it op folchoarder troch: befêstigje de portalynstelling mei de eigner fan 'e firewall, bewiis de boarne mei in tasteand profyl, hâld register- of plist-bewurkings yn in laboratoarium, en wyt hokker bestân it geheim hâldt sadat jo it fuorthelje kinne. In fakje dat ûntbrekt op in portal dy't bewarjen tastiet is in einpuntprobleem, en de klientlogs binne it folgjende plak om te sjen.