Kāpēc openfortivpn pieteikšanās neizdodas, ielīmējot portāla URL

Kļūda izskatās pēc akreditācijas datu problēmas: openfortivpn pieprasa paroli, nosūta to, un vārteja atbild ar atteikumu vai novirzīšanu atpakaļ uz pieteikšanās lapu. Pēc tam lietotāji vēlreiz ievada paroli, izmēģina domēnu kvalificētu konta nosaukumu un visbeidzot ielīmē pārlūkprogrammas portāla URL resursdatora laukā. Tieši šis pēdējais solis mazu konfigurācijas kļūdu pārvērš mulsinošā.

Fortinet portāla adrese, piemēram, https://vpn.example.com/ext, vienlaikus nes vairākus informācijas elementus, un tikai daži no tiem pieder VPN klientam.

Galapunkts un realm ir atsevišķas ievades

openfortivpn gaida galapunktu formā host vai host:port, kā arī kontu un, ja izvietojums to izmanto, realm vērtību. Realm pasaka vārtejai, kādu autentifikācijas politiku piemērot pirms konta novērtēšanas. Tas ir atsevišķs lauks, nevis piedēklis, ko klients izvelk no URL.

Izvietojumam, kura operators apstiprina, ka realm ir ext, ne slepenais izsaukums izskatās šādi: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Tās pašas vērtības ieraksta konfigurācijas failā kā host, port, username un realm ierakstus. Atstājiet paroli ārpus abām formām un ļaujiet klientam to pieprasīt, lai tā nenokļūtu čaulas vēsturē vai failā, ko var lasīt ikviens. Otrs mēģinājums, kamēr pirmais klients vēl tur tuneli, neizdosies tāda iemesla dēļ, kam nav nekāda sakara ar realm.

openfortivpn rokasgrāmata uzskaita abas opcijas, tāpēc precīzu rakstību ir viegli pārbaudīt pirms zvanīšanas atbalsta dienestam. Tomēr tā nevar pateikt, kurš realm ir konfigurēts jūsu vārtejā.

Ceļa segments nav automātiski realm

Portāla URL pēc resursdatora nosaukuma uzkrāj visdažādākās lietas: pieteikšanās lietotni, valodas atlasītāju, novirzīšanas mērķi, sesijas identifikatoru. Nogriezt pēdējo ceļa segmentu un nosaukt to par realm strādā pietiekami bieži, lai būtu bīstami. Jautājiet operatoram konfigurēto vērtību vai lasiet to no profila, ko izplata jūsu organizācija.

Realm nav arī tas pats, kas domēna piedēklis lietotājvārdā vai reģions, kurā atrodas vārteja. Daži izvietojumi vēlas alice, citi vēlas alice@corp, un realm nosaka, kuru no tiem vārteja pieņems. Konta formāta maiņa, lai kompensētu nepareizu realm, parasti dod otru, mazāk informatīvu atteikumu.

Nelabojiet realm kļūdu, mainot resursdatoru

Resursdatora nosaukuma aizstāšana ar IP adresi šķiet kā slāņa noņemšana, un tā salauž vairāk, nekā salabo. TLS nosaukuma validācija salīdzina sertifikātu ar nosaukumu, ko klients izmantoja, un IP adrese sertifikāta alternatīvajos subjekta nosaukumos parādās reti. Servera nosaukuma indikators mainās līdz ar adresi, tāpēc vārteja, kas vienā adresē mitina vairākus portālus, var atbildēt ar nepareizo. Saglabājiet resursdatora nosaukumu un uzticēšanās konfigurāciju neskartu, kamēr labojat autentifikācijas parametru.

Ja sertifikāts jūsu vidē nav uzticams, salabojiet uzticēšanās krātuvi vai apzināti piespraudiet gaidīto sertifikātu. Verifikācijas izslēgšana, lai apietu realm kļūdu, apmaina pieteikšanās problēmu pret klusas pārtveršanas risku.

Nošķiriet noraidītu pieteikšanos no neizdevušā tuneļa

Autentifikācijas kļūdas un tuneļa kļūdas iestājas dažādos brīžos, un ziņojumi atšķiras. Nosaukuma atrisināšanas kļūda notiek pirms jebkuras TLS rokasspiediena. TLS atteikums notiek pirms akreditācijas datu nosūtīšanas. Realm vai konta atteikums atgriežas kā HTTP līmeņa atbilde no portāla. Tikai pēc šiem posmiem sākas PPP sarunas, un tikai tad parādās maršrutēšanas un DNS problēmas.

Pareizs realm neveido trūkstošu maršrutu un nepadara neatbalstītu pieteikšanās metodi darbīgu. Ja portāls uzstāj uz pārlūkprogrammā balstītu plūsmu, izmantojiet klienta atbalstīto ceļu šai plūsmai, nevis atkārtojiet paroles apmaiņu un ceriet, ka sesija sakritīs.

Glabājiet vērtības tur, kur tās atradīs nākamā palaišana

Kad savienojums izdodas, ierakstiet vārteju, portu, kontu un realm pārvaldītajā profilā, nevis čaulas aizstājvārdā. Profili, kas glabājas repozitorijā vai konfigurācijas pārvaldības sistēmā, neļauj nākamajai palaišanai klusi pārņemt cita profila realm.

Vēlreiz pārbaudiet vienu savienojumu no sākuma līdz beigām un apstipriniet gan piemēroto politiku, gan piekļuvi resursam, kas jums patiešām nepieciešams. Veiksmīga autentifikācija ir šīs pārbaudes sākums, nevis beigas.