Kodėl openfortivpn prisijungimas nepavyksta įklijavus portalo URL

Nesėkmė atrodo kaip prisijungimo duomenų problema: openfortivpn paprašo slaptažodžio, jį išsiunčia, o tinklų sietuvas atsako atmetimu arba nukreipimu atgal į prisijungimo puslapį. Tada naudotojai iš naujo įrašo slaptažodį, išbando su domenu susietą paskyros vardą ir galiausiai įklijuoja naršyklės portalo URL į pagrindinio kompiuterio lauką. Būtent šis paskutinis veiksmas mažą konfigūracijos klaidą paverčia painia.

Fortinet portalo adresas, pavyzdžiui, https://vpn.example.com/ext, vienu metu neša kelis informacijos elementus, ir tik kai kurie jų priklauso VPN klientui.

Galinis taškas ir realm yra atskiri įvedimai

openfortivpn tikisi galinio taško, pateikto kaip host arba host:port, taip pat paskyros ir, jei diegimas jį naudoja, realm reikšmės. Realm pasako tinklų sietuvui, kokią autentifikavimo politiką taikyti prieš vertinant paskyrą. Tai atskiras laukas, o ne priesaga, kurią klientas ištraukia iš URL.

Diegimui, kurio operatorius patvirtina, kad realm yra ext, neslaptas iškvietimas atrodo taip: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Tos pačios reikšmės įrašomos konfigūracijos byloje kaip host, port, username ir realm įrašai. Palikite slaptažodį abiejų formų išorėje ir leiskite klientui jo paprašyti, kad jis nepatektų į shell istoriją ar visiems skaitomą bylą. Antras bandymas, kol pirmasis klientas dar laiko tunelį, nepavyks dėl priežasties, neturinčios nieko bendra su realm.

openfortivpn vadovas išvardija abu variantus, todėl tikslią rašybą lengva patikrinti prieš skambinant į pagalbą. Tačiau jis negali pasakyti, koks realm sukonfigūruotas jūsų tinklų sietuvoje.

Kelio segmentas savaime nėra realm

Portalo URL po pagrindinio kompiuterio vardo surenka įvairiausius dalykus: prisijungimo programą, kalbos parinkiklį, nukreipimo tikslą, sesijos identifikatorių. Nukirpti paskutinį kelio segmentą ir pavadinti jį realm veikia pakankamai dažnai, kad būtų pavojinga. Paklauskite operatoriaus apie sukonfigūruotą reikšmę arba perskaitykite ją iš profilio, kurį platina jūsų organizacija.

Realm taip pat nėra tas pats, kas domeno priesaga vartotojo varde ar regionas, kuriame yra tinklų sietuvas. Vieni diegimai nori alice, kiti nori alice@corp, o realm nusprendžia, kurį iš jų tinklų sietuvas priims. Paskyros formato keitimas siekiant kompensuoti neteisingą realm paprastai duoda antrą, mažiau informatyvų atmetimą.

Netaisykite realm klaidos keisdami pagrindinį kompiuterį

Pagrindinio kompiuterio vardo pakeitimas IP adresu atrodo kaip sluoksnio pašalinimas, ir jis sugadina daugiau, nei pataiso. TLS vardo patikra lygina sertifikatą su vardu, kurį naudojo klientas, o IP adresas sertifikato alternatyviuose subjekto varduose pasitaiko retai. Serverio vardo indikatorius kinta kartu su adresu, todėl tinklų sietuvas, talpinantis kelis portalus vienu adresu, gali atsakyti netinkamu. Išsaugokite pagrindinio kompiuterio vardą ir pasitikėjimo konfigūraciją nepakitusius, kol taisote autentifikavimo parametrą.

Jei sertifikatas jūsų aplinkoje nepatikimas, sutvarkykite pasitikėjimo saugyklą arba sąmoningai prisekite laukiamą sertifikatą. Patikros išjungimas norint apeiti realm klaidą iškeičia prisijungimo problemą į tylaus perėmimo riziką.

Atskirkite atmestą prisijungimą nuo nepavykusio tunelio

Autentifikavimo ir tunelio nesėkmės įvyksta skirtingu metu, ir pranešimai skiriasi. Vardo išsprendimo klaida įvyksta prieš bet kokį TLS rankos paspaudimą. TLS atmetimas įvyksta prieš siunčiant prisijungimo duomenis. Realm arba paskyros atmetimas grįžta kaip HTTP lygmens atsakymas iš portalo. Tik po šių etapų prasideda PPP derybos, ir tik tada atsiranda maršrutizavimo ir DNS problemos.

Teisingas realm nesukuria trūkstamo maršruto ir nepadaro nepaliekamos prisijungimo metodikos veikiančios. Jei portalas reikalauja naršyklės srauto, naudokite kliento palaikomą kelią tam srautui, o ne kartokite slaptažodžio mainus ir tikėkitės, kad sesija sutaps.

Laikykite reikšmes ten, kur jas ras kitas paleidimas

Kai ryšys pavyksta, įrašykite tinklų sietuvą, portą, paskyrą ir realm į valdomą profilį, o ne į shell pseudonimą. Profiliai, laikomi saugykloje ar konfigūracijos valdymo sistemoje, neleidžia kitam paleidimui tyliai pasiimti kito profilio realm.

Dar kartą išbandykite vieną ryšį nuo pradžios iki pabaigos ir patvirtinkite ir taikytą politiką, ir prieigą prie ištekliaus, kurio tikrai reikia. Sėkmingas autentifikavimas yra tos patikros pradžia, o ne pabaiga.