Manca la casella Salva password in FortiClient? Decide il gateway

Terminate l'installazione di FortiClient, vi collegate alla SSL VPN dell'ufficio e cercate un controllo per salvare la password che semplicemente non c'è. Reinstallare il client non lo riporta, e nemmeno eliminare il tunnel e aggiungerlo di nuovo. In un profilo SSL VPN è il firewall a decidere se il client può conservare le credenziali. Una casella assente significa quindi di solito che è arrivata una policy dal gateway, non che l'installer abbia fallito.

Questa distinzione conta prima di iniziare a modificare file: uno di questi percorsi è una conversazione con il proprietario del firewall, l'altro è lavoro di laboratorio che verrà sovrascritto.

Controllate il portale prima di toccare l'endpoint

Chiedete a chi gestisce il FortiGate di aprire il portale SSL VPN a cui punta il vostro tunnel e di leggerne l'impostazione di salvataggio della password. Quando l'opzione è disattivata, ci si aspetta che FortiClient nasconda il controllo e rifiuti di memorizzare la credenziale. L'endpoint sta obbedendo alla regola, non è guasto.

Un test rapido separa la policy da un profilo rotto: accedete a un portale che permette ancora il salvataggio, poi tornate al vostro. Se il controllo compare sul portale permissivo e sparisce su quello bloccato, fermatevi qui e chiedete la modifica al gateway. Tutto ciò che segue è lavoro sul campo per un tenant di laboratorio o un profilo di prova, e nulla di esso prevale sulla decisione del server. Un aggiornamento del profilo o del client riscriverà la modifica locale.

Windows tiene il flag dentro la chiave del tunnel

I tunnel salvati vivono sotto l'utente corrente, una chiave per connessione, e il flag di visibilità sta accanto ai dettagli della connessione:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Impostate il valore a 1, uscite dal client dall'area di notifica invece di chiudere la finestra, e riapritelo. Nelle build 5.x lo stesso flag poteva stare sotto il ramo Wow6432Node di HKEY_LOCAL_MACHINE, quindi guardate lì quando la chiave per utente manca. Alcune build 6.x riscrivono il valore dopo una connessione riuscita, il che spiega una casella che sopravvive a un accesso e sparisce al successivo. Se la vostra chiave non ha affatto un valore simile, createlo come stringa invece di indovinare altri nomi.

Trattate il registro come un passo di debug. Lo stato vivo del registro è invisibile al prossimo amministratore, e nessun aggiornamento dell'inventario lo conserverà.

Su macOS, tracciate il client per trovare il suo file

Il client macOS conserva le impostazioni per connessione sotto /Library/Application Support/Fortinet/FortiClient/conf, in un dizionario per ogni tunnel. La chiave da impostare è AllowSavePassword, e deve leggersi come 1 mentre le chiavi di connessione automatica nello stesso dizionario restano intatte. Riavviate il client quando avete finito.

Indovinare il file esatto fa perdere tempo su una build sconosciuta. Eseguite opensnoop mentre aggiungete il tunnel, poi leggete i percorsi toccati dal client; il file che ha scritto è quello che porta il flag. Modificate quel file con il client chiuso e il lavoro è fatto. Cinque minuti di tracciamento battono ogni volta una ricerca su tutto il filesystem.

Preferite un ciclo di esportazione, modifica e ripristino

I client più recenti vi lasciano far passare l'intera configurazione attraverso un file, cosa più facile da ripetere e da consegnare a un'altra macchina della chirurgia dal vivo sul registro:

• Esportate dalle impostazioni del client, includete le impostazioni utente e impostate una password di esportazione.
• Aprite il file e impostate show_remember_password a 1.
• Sbloccate il lucchetto nel client; Ripristina non fa nulla finché è bloccato.
• Ripristinate il file modificato e fornite la password di esportazione.

Il controllo dovrebbe comparire al prossimo accesso. Tenete il file esportato lontano da cartelle condivise e da allegati dei ticket, perché descrive i vostri tunnel e può portare un segreto cifrato.

Se il ripristino funziona ma la casella si nasconde di nuovo dopo la connessione, il gateway riafferma la policy a ogni accesso e nessun file locale manterrà l'impostazione a lungo.

Cancellate il segreto prima che diventi un blocco dell'account

Il client a riga di comando per Linux non ha alcuna casella, quindi un wrapper che passa la password su stdin è la risposta abituale e non memorizza nulla. Su qualsiasi piattaforma la rimozione affidabile è riportare la connessione a chiedere la password all'accesso o eliminare del tutto il tunnel.

Una credenziale salvata sopravvive al cambio di password che la invalida, e i guasti che ne derivano sembrano un'interruzione della VPN: rifiuti, tentativi ripetuti, poi un blocco dell'account. Cancellate il valore salvato prima di cambiare una password, e scorrete l'elenco dei tunnel cercando voci vecchie che ne portano ancora una. Il segreto sta cifrato nell'archivio del client, quindi modificarlo a mano è inutile. Eliminare il tunnel è più rapido e non lascia nulla.

Procedete in ordine: confermate l'impostazione del portale con il proprietario del firewall, dimostrate l'origine con un profilo permissivo, tenete le modifiche al registro o al plist dentro un laboratorio e sappiate quale file custodisce il segreto per poterlo rimuovere. Una casella assente su un portale che permette il salvataggio è un problema dell'endpoint, e i log del client sono il posto successivo da guardare.