Ինչու է openfortivpn-ի մուտքը ձախողվում, երբ տեղադրում եք պորտալի URL-ը

Ձախողումը նման է հավատարմագրերի խնդրի՝ openfortivpn-ը հարցնում է գաղտնաբառը, ուղարկում այն, և դարպասը պատասխանում է մերժմամբ կամ վերահղմամբ դեպի մուտքի էջ։ Այնուհետև օգտատերերը նորից մուտքագրում են գաղտնաբառը, փորձում դոմենով որակավորված հաշվի անունը և ի վերջո տեղադրում զննարկիչի պորտալի URL-ը հոսթի դաշտում։ Հենց այդ վերջին քայլն է փոքր կարգավորման սխալը վերածում շփոթեցնող սխալի։

Fortinet-ի պորտալի հասցեն, ինչպիսին https://vpn.example.com/ext-ն է, միաժամանակ կրում է տեղեկատվության մի քանի մասեր, և դրանցից միայն ոմանք են պատկանում VPN հաճախորդին։

Վերջնակետը և realm-ը առանձին մուտքեր են

openfortivpn-ը սպասում է վերջնակետ host կամ host:port ձևով՝ գումարած հաշիվ և, որտեղ տեղակայումը օգտագործում է, realm արժեք։ realm-ը դարպասին ասում է, թե որ նույնականացման քաղաքականությունը կիրառել հաշիվը գնահատելուց առաջ։ Դա առանձին դաշտ է, ոչ թե վերջածանց, որը հաճախորդը հանում է URL-ից։

Տեղակայման համար, որի օպերատորը հաստատում է, որ realm-ը ext է, ոչ գաղտնի կանչը այսպիսի տեսք ունի՝ openfortivpn vpn.example.com:443 --username=alice --realm=ext։ Նույն արժեքները պատկանում են կարգավորման ֆայլին որպես host, port, username և realm գրառումներ։ Գաղտնաբառը թողեք երկու ձևերից դուրս և թույլ տվեք հաճախորդին հարցնել այն, որպեսզի այն չհայտնվի shell-ի պատմության կամ բոլորի համար ընթեռնելի ֆայլի մեջ։ Երկրորդ փորձը, մինչ առաջին հաճախորդը դեռ պահում է թունելը, կձախողվի մի պատճառով, որը ոչ մի կապ չունի realm-ի հետ։

openfortivpn-ի ձեռնարկը թվարկում է երկու տարբերակները, ուստի ճշգրիտ ուղղագրությունը հեշտ է ստուգել աջակցությանը զանգահարելուց առաջ։ Սակայն այն չի կարող ասել, թե որ realm-ն է կարգավորված ձեր դարպասում։

Ուղու հատվածն ինքնաբերաբար realm չէ

Պորտալի URL-ները հոսթի անունից հետո հավաքում են ամենատարբեր բաներ՝ մուտքի հավելված, լեզվի ընտրիչ, վերահղման թիրախ, նստաշրջանի նույնացուցիչ։ Վերջին ուղու հատվածը կտրելը և այն realm անվանելը բավական հաճախ է աշխատում, որպեսզի վտանգավոր լինի։ Հարցրեք օպերատորին կարգավորված արժեքի մասին կամ կարդացեք այն ձեր կազմակերպության տարածած պրոֆիլից։

realm-ը նույնը չէ, ինչ օգտանվան դոմենային վերջածանցը կամ այն տարածաշրջանը, որտեղ գտնվում է դարպասը։ Որոշ տեղակայումներ ուզում են alice, մյուսները՝ alice@corp, և realm-ն է որոշում, թե դրանցից որն է դարպասը ընդունելու։ Հաշվի ձևաչափը փոխելը՝ սխալ realm-ը փոխհատուցելու համար, սովորաբար տալիս է երկրորդ՝ ավելի քիչ տեղեկատվական մերժում։

Մի՛ ուղղեք realm-ի սխալը հոսթը փոխելով

Հոսթի անունը IP հասցեով փոխարինելը թվում է, թե շերտ եք հանում, և այն ավելի շատ է կոտրում, քան ուղղում։ TLS-ի անվան ստուգումը վկայագիրը համեմատում է հաճախորդի օգտագործած անվան հետ, և IP հասցեն հազվադեպ է հայտնվում վկայագրի այլընտրանքային սուբյեկտային անուններում։ Սերվերի անվան ցուցիչը փոխվում է հասցեի հետ, ուստի մեկ հասցեում մի քանի պորտալ տեղակայող դարպասը կարող է պատասխանել սխալով։ Պահեք հոսթի անունը և վստահության կարգավորումը անփոփոխ, մինչ ուղղում եք նույնականացման պարամետրը։

Եթե վկայագիրը ձեր միջավայրում վստահելի չէ, ուղղեք վստահության պահոցը կամ դիտավորյալ ամրացրեք սպասվող վկայագիրը։ Ստուգումն անջատելը՝ realm-ի սխալը շրջանցելու համար, մուտքի խնդիրը փոխանակում է լուռ ընդհատման ռիսկի հետ։

Առանձնացրեք մերժված մուտքը ձախողված թունելից

Նույնականացման ձախողումները և թունելի ձախողումները գալիս են տարբեր պահերի, և հաղորդագրությունները տարբեր են։ Անվան լուծման սխալը տեղի է ունենում ցանկացած TLS ձեռքսեղմումից առաջ։ TLS-ի մերժումը տեղի է ունենում հավատարմագրերն ուղարկելուց առաջ։ realm-ի կամ հաշվի մերժումը վերադառնում է որպես HTTP մակարդակի պատասխան պորտալից։ Միայն այդ փուլերից հետո է սկսվում PPP բանակցությունը, և միայն այդ ժամանակ են ի հայտ գալիս երթուղային և DNS խնդիրները։

Ճիշտ realm-ը բացակայող երթուղի չի ստեղծում և չի աշխատեցնում չաջակցվող մուտքի եղանակ։ Եթե պորտալը պնդում է զննարկիչի վրա հիմնված հոսք, օգտագործեք հաճախորդի աջակցած ուղին այդ հոսքի համար՝ գաղտնաբառի փոխանակումը կրկնելու և նստաշրջանի համընկնելուն հուսալու փոխարեն։

Պահեք արժեքները այնտեղ, որտեղ հաջորդ գործարկումը կգտնի դրանք

Երբ կապը հաջողվի, գրեք դարպասը, պորտը, հաշիվը և realm-ը կառավարվող պրոֆիլում՝ shell-ի այլանվան փոխարեն։ Պահոցում կամ կարգավորման կառավարման համակարգում պահվող պրոֆիլները թույլ չեն տալիս, որ հաջորդ գործարկումը լուռ վերցնի այլ պրոֆիլի realm։

Կրկին փորձարկեք մեկ կապը սկզբից մինչև վերջ և հաստատեք և՛ կիրառված քաղաքականությունը, և՛ ձեզ իսկապես անհրաժեշտ ռեսուրսի հասանելիությունը։ Նույնականացման հաջողությունը այդ ստուգման սկիզբն է, ոչ թե ավարտը։