რატომ ვერ ხერხდება openfortivpn-ით შესვლა, როცა პორტალის URL-ს აკრავთ

წარუმატებლობა საიდენტიფიკაციო მონაცემების პრობლემას ჰგავს: openfortivpn ითხოვს პაროლს, აგზავნის მას, და კარიბჭე პასუხობს უარით ან გადამისამართებით შესვლის გვერდზე. შემდეგ მომხმარებლები ხელახლა აკრეფენ პაროლს, ცდიან დომენით კვალიფიცირებულ ანგარიშის სახელს და ბოლოს ბრაუზერის პორტალის URL-ს აკრავენ ჰოსტის ველში. სწორედ ეს უკანასკნელი ნაბიჯი აქცევს პატარა კონფიგურაციის შეცდომას დამაბნეველ შეცდომად.

Fortinet-ის პორტალის მისამართი, როგორიცაა https://vpn.example.com/ext, ერთდროულად რამდენიმე ინფორმაციას ატარებს და მათგან მხოლოდ რამდენიმე ეკუთვნის VPN კლიენტს.

საბოლოო წერტილი და realm ცალკე შეყვანებია

openfortivpn ელოდება საბოლოო წერტილს host ან host:port ფორმით, ასევე ანგარიშს და, სადაც განლაგება იყენებს, realm მნიშვნელობას. realm ეუბნება კარიბჭეს, რომელი ავთენტიფიკაციის პოლიტიკა გამოიყენოს ანგარიშის შეფასებამდე. ეს ცალკე ველია და არა სუფიქსი, რომელსაც კლიენტი URL-იდან ამოიღებს.

განლაგებისთვის, რომლის ოპერატორიც ადასტურებს, რომ realm არის ext, არასაიდუმლო გამოძახება ასე გამოიყურება: openfortivpn vpn.example.com:443 --username=alice --realm=ext. იგივე მნიშვნელობები კონფიგურაციის ფაილში შედის როგორც host, port, username და realm ჩანაწერები. პაროლი ორივე ფორმის გარეთ დატოვეთ და კლიენტს მიეცით საშუალება იკითხოს, რათა ის არ მოხვდეს shell-ის ისტორიაში ან ყველასთვის წასაკითხ ფაილში. მეორე მცდელობა, სანამ პირველი კლიენტი ჯერ კიდევ უჭირავს გვირაბს, ჩავარდება მიზეზით, რომელსაც realm-თან არაფერი აქვს საერთო.

openfortivpn-ის სახელმძღვანელო ჩამოთვლის ორივე ვარიანტს, ამიტომ ზუსტი მართლწერის შემოწმება მარტივია მხარდაჭერაზე დარეკვამდე. თუმცა ის ვერ გეტყვით, რომელი realm არის თქვენს კარიბჭეზე კონფიგურირებული.

ბილიკის სეგმენტი ავტომატურად realm არ არის

პორტალის URL-ები ჰოსტის სახელის შემდეგ ყველანაირ რამეს აგროვებს: შესვლის აპლიკაციას, ენის ამრჩევს, გადამისამართების სამიზნეს, სესიის იდენტიფიკატორს. ბილიკის ბოლო სეგმენტის მოჭრა და მისი realm-ად წოდება საკმარისად ხშირად მუშაობს, რომ საშიში იყოს. ჰკითხეთ ოპერატორს კონფიგურირებული მნიშვნელობა ან წაიკითხეთ ის პროფილიდან, რომელსაც თქვენი ორგანიზაცია ავრცელებს.

realm ასევე არ არის იგივე, რაც მომხმარებლის სახელზე დომენის სუფიქსი ან რეგიონი, სადაც კარიბჭე მდებარეობს. ზოგი განლაგება ითხოვს alice, ზოგი — alice@corp, და realm წყვეტს, რომელს მიიღებს კარიბჭე. ანგარიშის ფორმატის შეცვლა არასწორი realm-ის კომპენსაციისთვის ჩვეულებრივ იძლევა მეორე, ნაკლებად ინფორმატიულ უარს.

არ გაასწოროთ realm-ის შეცდომა ჰოსტის შეცვლით

ჰოსტის სახელის IP მისამართით შეცვლა ერთი ფენის მოხსნას ჰგავს და უფრო მეტს აფუჭებს, ვიდრე ასწორებს. TLS სახელის ვალიდაცია ადარებს სერტიფიკატს იმ სახელს, რომელიც კლიენტმა გამოიყენა, და IP მისამართი იშვიათად ჩნდება სერტიფიკატის ალტერნატიულ სუბიექტურ სახელებში. სერვერის სახელის მაჩვენებელი მისამართთან ერთად იცვლება, ამიტომ ერთ მისამართზე რამდენიმე პორტალის მასპინძელი კარიბჭე შეიძლება არასწორით უპასუხოს. შეინახეთ ჰოსტის სახელი და ნდობის კონფიგურაცია უცვლელად, სანამ ავთენტიფიკაციის პარამეტრს ასწორებთ.

თუ სერტიფიკატი თქვენს გარემოში სანდო არ არის, გაასწორეთ ნდობის საცავი ან განზრახ მიამაგრეთ მოსალოდნელი სერტიფიკატი. შემოწმების გამორთვა realm-ის შეცდომის გვერდის ასავლელად შესვლის პრობლემას ცვლის ჩუმი ჩარევის რისკით.

განაცალკევეთ უარყოფილი შესვლა წარუმატებელი გვირაბისგან

ავთენტიფიკაციის მარცხები და გვირაბის მარცხები სხვადასხვა მომენტში მოდის და შეტყობინებებიც განსხვავდება. სახელის გარჩევის შეცდომა ხდება ნებისმიერ TLS ხელის ჩამორთმევამდე. TLS-ის უარი ხდება საიდენტიფიკაციო მონაცემების გაგზავნამდე. realm-ის ან ანგარიშის უარი ბრუნდება როგორც HTTP დონის პასუხი პორტალიდან. მხოლოდ ამ ეტაპების შემდეგ იწყება PPP მოლაპარაკება და მხოლოდ მაშინ ჩნდება მარშრუტიზაციისა და DNS პრობლემები.

სწორი realm არ ქმნის დაკარგულ მარშრუტს და არ ამუშავებს მხარდაუჭერელ შესვლის მეთოდს. თუ პორტალი დაჟინებით ითხოვს ბრაუზერზე დაფუძნებულ ნაკადს, გამოიყენეთ კლიენტის მხარდაჭერილი გზა ამ ნაკადისთვის, ნაცვლად იმისა, რომ გაიმეოროთ პაროლის გაცვლა და სესიის დამთხვევას იმედოვნოთ.

შეინახეთ მნიშვნელობები იქ, სადაც შემდეგი გაშვება იპოვის მათ

როგორც კი კავშირი წარმატებით დამყარდება, ჩაწერეთ კარიბჭე, პორტი, ანგარიში და realm მართულ პროფილში და არა shell-ის ფსევდონიმში. საცავში ან კონფიგურაციის მართვის სისტემაში შენახული პროფილები ხელს უშლის შემდეგ გაშვებას ჩუმად აიღოს სხვა პროფილის realm.

ხელახლა გამოსცადეთ ერთი კავშირი თავიდან ბოლომდე და დაადასტურეთ როგორც გამოყენებული პოლიტიკა, ისე წვდომა იმ რესურსზე, რომელიც ნამდვილად გჭირდებათ. ავთენტიფიკაციის წარმატება ამ შემოწმების დასაწყისია და არა დასასრული.