Wêrom openfortivpn-ynloggen mislearret as jo de portal-URL plakke

De mislearring liket in probleem mei oanmeldingen: openfortivpn freget om it wachtwurd, stjoert it, en de gateway antwurdet mei in ôfwizing of in trochferwizing werom nei de ynlogside. Dêrnei typten brûkers it wachtwurd opnij, probearje de domeinkwalifisearre accountnamme en plakke úteinlik de portal-URL fan de browser yn it hostfjild. Krekt dy lêste stap makket fan in lytse konfiguraasjeflater in betiizjende.

In Fortinet-portaladres lykas https://vpn.example.com/ext draacht ferskate stikken ynformaasje tagelyk, en mar guon dêrfan hearre by de VPN-klant.

It einpunt en de realm binne aparte ynfieringen

openfortivpn ferwachtet in einpunt yn 'e foarm host of host:port, plus in account en, wêr't de útrulling ien brûkt, in realm-wearde. De realm fertelt de gateway hokker autentikaasjebelied tapast wurde moat foardat it it account beoardielet. It is in apart fjild, net in efterheaksel dat de klant út in URL hellet.

Foar in útrulling wêrfan't de operator befêstiget dat de realm ext is, sjocht in net-geheim oprop der sa út: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Deselde wearden hearre yn it konfiguraasjebestân as host-, port-, username- en realm-yngongen. Lit it wachtwurd bûten beide foarmen en lit de klant derom freegje, sadat it net yn 'e shell-skiednis of in foar elkenien lêsber bestân bedarret. In twadde poging wylst de earste klant de tunnel noch hâldt, sil mislearje om in reden dy't neat mei de realm te meitsjen hat.

openfortivpn-hânboek listet beide opsjes, dus de krekte stavering is maklik te befêstigjen foar in oprop nei stipe. It kin jo lykwols net fertelle hokker realm op jo gateway konfigurearre is.

In paadsegmint is net automatysk in realm

Portal-URL's sammelje fan alles nei de hostnamme: in ynlogapplikaasje, in taalkeizer, in trochferwizingsdoel, in sesje-identifikaasje. It lêste paadsegmint ôfknipje en it in realm neame wurket faak genôch om gefaarlik te wêzen. Freegje de operator om de konfigurearre wearde of lês it út it profyl dat jo organisaasje ferspriedt.

In realm is ek net itselde as in domein-efterheaksel op de brûkersnamme of de regio dêr't de gateway stiet. Guon útrullingen wolle alice, oaren wolle alice@corp, en de realm beslút hokker fan dy't de gateway akseptearret. It accountformaats feroarje om in ferkearde realm te kompensearjen jout meastentiids in twadde, minder ynformative ôfwizing.

Reparier in realm-flater net troch de host te feroarjen

De hostnamme ferfange troch in IP-adres fielt as in laach fuorthelje, en it brekt mear as't it reparieret. TLS-namfalidaasje ferliket it sertifikaat mei de namme dy't de klant brûkt hat, en in IP-adres ferskynt komselden yn 'e alternative ûnderwerpnammen fan in sertifikaat. Server Name Indication feroaret mei it adres, dus in gateway dy't ferskate portalen op ien adres hostet, kin mei de ferkearde antwurdzje. Hâld de hostnamme en de fertrouwenskonfiguraasje yntakt wylst jo de autentikaasjeparameter korrizjearje.

As it sertifikaat yn jo omjouwing net fertroud is, reparierje de fertrouwensopslach of pin it ferwachte sertifikaat bewust. Ferifikaasje útskeakelje om in realm-flater foarby te kommen ruilet in ynlogprobleem om foar in risiko fan stil ôflústerjen.

Skied in ôfwiisd ynloggen fan in mislearre tunnel

Autentikaasjeflaters en tunnelflaters komme op ferskate mominten, en de berjochten ferskille. In namme-oplossingsflater bart foar elke TLS-hânskieding. In TLS-ôfwizing bart foardat oanmeldingen stjoerd wurde. In ôfwizing fan realm of account komt werom as in antwurd op HTTP-nivo fan it portaal. Pas nei dy stadia begjint PPP-ûnderhanneling, en pas dan ferskine rûte- en DNS-problemen.

In korrekte realm makket gjin ûntbrekkende rûte en lit in net-stipe oanmeldmetoade net wurkje. As it portaal op in browserbasearre stream stiet, brûk dan it troch de klant stipe paad foar dy stream yn stee fan in wachtwurduitwikseling te werheljen en te hoopjen dat de sesje oerienkomt.

Hâld de wearden dêr't de folgjende start se fine sil

As in ferbining slagget, skriuw dan de gateway, poarte, account en realm yn it behearde profyl yn stee fan in shell-alias. Profilen dy't yn in bewarplak of in konfiguraasjebeheersysteem holden wurde, foarkomme dat de folgjende start stilwei de realm fan in oar profyl oppakt.

Test ien ferbining fan begjin oant ein opnij en befêstigje sawol it tapaste belied as tagong ta in boarne dy't jo echt nedich hawwe. Dat autentikaasje slagget is it begjin fan dy kontrôle, net it ein.