FortiClient: Këscht fir d'Passwuert ze späicheren feelt? D'Gateway entscheet

Dir schléisst d'Installatioun vum FortiClient of, verbënnt Iech mat der SSL VPN vum Büro a sicht eng Steierung fir d'Passwuert ze späicheren, déi einfach net do ass. De Client nei installéieren bréngt se net zréck, an och net den Tunnel läschen an erëm derbäisetzen. An engem SSL VPN-Profil entscheet d'Firewall, ob de Client iwwerhaapt Umeldungsdaten däerf halen. Eng feelend Këscht heescht dofir meeschtens, datt eng Richtlinn vun der Gateway komm ass, an net datt den Installateur versot huet.

Dësen Ënnerscheed ass wichteg, ier Dir ufänkt Dateien ze änneren: ee vun dëse Weeër ass e Gespréich mam Besëtzer vun der Firewall, an deen aneren ass Laboarbecht, déi iwwerschriwwe gëtt.

Kuckt d'Portal un, ier Dir den Endpunkt beréiert

Frot dejenegen, deen de FortiGate bedreift, d'SSL VPN-Portal opzemaachen, op déi Ären Tunnel weist, an hir Astellung fir d'Passwuert ze späicheren ze liesen. Wann d'Optioun desaktivéiert ass, gëtt vum FortiClient erwaart, datt en d'Steierung verstoppt an d'Späichere vun den Umeldungsdaten refuséiert. Den Endpunkt gehorcht der Regel, amplaz dass en defekt ass.

Eng séier Prüfung trennt d'Richtlinn vun engem kaputte Profil: mellt Iech op engem Portal un, deen d'Späicheren nach erlaabt, a gitt dann op Ären eegene zeréck. Wann d'Steierung um erlabenden Portal erschéngt an um gespaarten verschwënnt, hält hei un a frot no der Ännerung op der Gateway. Alles hei drënner ass Feldaarbecht fir en Labo-Mietersmann oder en Testprofil, an näischt dovu steet iwwer der Entscheedung vum Server. Eng Profil-Aktualiséierung oder en Client-Upgrade wäert déi lokal Ännerung iwwerschreiwen.

Windows hält d'Fändel am Tunnel-Schlëssel

Gespäichert Tunnele liewen ënner dem aktuelle Benotzer, ee Schlëssel pro Verbindung, an de Fändel fir d'Sichtbarkeet sëtzt nieft den Detailer vun der Verbindung:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Setzt de Wäert op 1, verloosst de Client iwwer de Systemtray, amplaz säi Fënster zouzemaachen, an öffnet en erëm. An 5.x-Builden konnt deeselwechte Fändel ënner dem Wow6432Node-Ast vum HKEY_LOCAL_MACHINE sinn, also kuckt do, wann de Schlëssel pro Benotzer feelt. E puer 6.x-Builden iwwerschreiwen de Wäert no enger erfollegräicher Verbindung, wat eng Këscht erkläert, déi eng Umeldung iwwerlieft an déi nächst verschwënnt. Wann Äre Schlëssel iwwerhaapt keen esou Wäert huet, erstellt en als String, amplaz aner Nimm ze roden.

Behandelt d'Registry als Debug-Schrëtt. Den live Zoustand vun der Registry ass fir den nächsten Administrateur onsichtbar, an keng Inventar-Aktualiséierung wäert en erhalen.

Op macOS, verfollegt de Client, fir seng Datei ze fannen

De macOS-Client hält Astellunge pro Verbindung ënner /Library/Application Support/Fortinet/FortiClient/conf, an engem Wierderbuch fir all Tunnel. De Schlëssel, deen ze setzen ass, ass AllowSavePassword, an en muss als 1 gelies ginn, wärend d'Auto-Connect-Schlësselen am selwechte Wierderbuch intakt bleiwen. Start de Client nei, wann Dir fäerdeg sidd.

Déi genee Datei ze roden kascht Zäit op engem onbekannte Build. Fuert opensnoop aus, wärend Dir den Tunnel derbäisetzt, an liest dann d'Weeër, déi de Client beréiert huet; d'Datei, déi en geschriwwen huet, ass déi mam Fändel. Ännert déi Datei mam zouene Client, an d'Aarbecht ass fäerdeg. Fënnef Minutten Nospueren gewënnt all Kéier géint eng Sich am ganze Dateiesystem.

Bevorzugt e Zyklus vum Exportéieren, Änneren an Restauréieren

Méi nei Cliente loossen Iech déi ganz Konfiguratioun duerch eng Datei hin an hier féieren, wat méi einfach ze widderhuelen an op eng aner Maschinn ze ginn ass wéi eng live Registry-Chirurgie:

• Exportéiert aus den Astellunge vum Client, hëlt d'Benotzerastellungen dobäi, a setzt e Passwuert fir den Export.
• Maacht d'Datei op a setzt show_remember_password op 1.
• Maacht d'Schloss am Client op; Restauréiere mécht näischt, während et gespaart ass.
• Restauréiert déi geännert Datei a gitt d'Passwuert vum Export un.

D'Steierung sollt bei der nächster Umeldung erschéngen. Hält déi exportéiert Datei wäit ewech vu gedeelte Poschen an Tickete-Anhangen, well se Är Tunnele beschreift an en verschlësselt Geheimnis droen kann.

Wann d'Restauratioun funktionéiert, awer d'Këscht sech nom Verbannen erëm verstoppt, setzt d'Gateway d'Richtlinn bei all Umeldung duerch, an keng lokal Datei hält d'Astellung laang.

Läscht d'Geheimnis, éier et zu enger Kont-Spär gëtt

De Linux-Kommandozeilen-Client huet iwwerhaapt keng Këscht, dofir ass e Wrapper, deen d'Passwuert op stdin gëtt, déi gewéinlech Äntwert, an en späichert näischt. Op all Plattform ass déi zouverlässeg Ewechhuele fir d'Verbindung op Froe bei der Umeldung zréckzesetzen oder den Tunnel ganz ze läschen.

Eng gespäichert Umeldungsdate iwwerlieft d'Passwuertännerung, déi se ongülteg mécht, an déi doraus resultéierend Feeler gesinn aus wéi eng VPN-Stéierung: Oflehnungen, nei Versich, dann eng Kont-Spär. Läscht de gespäicherte Wäert, éier Dir e Passwuert wiesselt, an kuckt d'Tunnel-Lëscht no alen Anträg duerch, déi nach een droen. D'Geheimnis sëtzt verschlësselt am Client-Späicher, dofir ass et händeg ze änneren zwecklos. Den Tunnel ze läschen ass méi séier an hannerléisst näischt.

Schafft et der Rei no of: bestätegt d'Portal-Astellung mam Besëtzer vun der Firewall, beweist d'Quell mat engem erlabende Profil, hält Registry- oder plist-Ännerungen an engem Labo, a wësst, wéi eng Datei d'Geheimnis hält, fir se kënnen ewechzehuelen. Eng feelend Këscht op engem Portal, deen d'Späicheren erlaabt, ass en Endpunkt-Problem, an d'Client-Loggen sinn déi nächst Plaz, wou een no kuckt.