Зошто најавувањето во openfortivpn не успева кога ќе ја залепите URL-адресата на порталот

Неуспехот изгледа како проблем со акредитиви: openfortivpn ја бара лозинката, ја испраќа, а порталот одговара со одбивање или со пренасочување назад на страницата за најава. Потоа корисниците повторно ја внесуваат лозинката, го пробуваат името на сметката со домен и на крајот ја залепуваат URL-адресата на порталот од прелистувачот во полето за домаќин. Токму овој последен чекор мала конфигурациска грешка ја претвора во збунувачка.

Адреса на Fortinet портал како https://vpn.example.com/ext носи неколку информации одеднаш, а само некои од нив му припаѓаат на VPN клиентот.

Крајната точка и realm се одделни влезови

openfortivpn очекува крајна точка во форма host или host:port, плус сметка и, каде што распоредувањето користи, вредност за realm. Realm му кажува на порталот која политика за автентикација да ја примени пред да ја оцени сметката. Тоа е одделно поле, а не наставка што клиентот ја извлекува од URL.

За распоредување чиј оператор потврдува дека realm е ext, нетаен повик изгледа вака: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Истите вредности припаѓаат во конфигурациската датотека како записи host, port, username и realm. Оставете ја лозинката надвор од двете форми и оставете клиентот да ја побара, за да не заврши во историјата на shell или во датотека читлива за сите. Вториот обид додека првиот клиент уште го држи тунелот ќе пропадне од причина што нема никаква врска со realm.

прирачникот за openfortivpn ги наведува двете опции, па точниот правопис лесно се проверува пред повик до поддршката. Но, не може да ви каже кој realm е конфигуриран на вашиот портал.

Сегментот од патеката не е автоматски realm

URL-адресите на порталите собираат секакви работи по името на домаќинот: апликација за најава, избирач на јазик, цел за пренасочување, идентификатор на сесија. Отсекувањето на последниот сегмент од патеката и неговото нарекување realm функционира доволно често за да биде опасно. Прашајте го операторот за конфигурираната вредност или прочитајте ја од профилот што го дистрибуира вашата организација.

Realm исто така не е исто што и наставка за домен во корисничкото име или регионот во кој се наоѓа порталот. Некои распоредувања сакаат alice, други сакаат alice@corp, а realm одлучува кое од нив порталот ќе го прифати. Менувањето на форматот на сметката за да се надомести погрешен realm обично дава второ, помалку информативно одбивање.

Не поправајте грешка со realm со менување на домаќинот

Замената на името на домаќинот со IP-адреса изгледа како отстранување на слој и крши повеќе отколку што поправа. TLS проверката на името го споредува сертификатот со името што го користел клиентот, а IP-адресата ретко се појавува во алтернативните имиња на субјектот на сертификатот. Индикаторот за име на серверот се менува со адресата, па портал што хостира неколку портали на една адреса може да одговори со погрешниот. Задржете го името на домаќинот и конфигурацијата за доверба недопрени додека го поправате параметарот за автентикација.

Ако сертификатот не е доверлив во вашата околина, поправете го складиштето за доверба или намерно закачете го очекуваниот сертификат. Исклучувањето на проверката за да се заобиколи грешка со realm ја заменува најавата со ризик од тивко пресретнување.

Одвојте одбиена најава од неуспешен тунел

Неуспесите при автентикација и неуспесите на тунелот доаѓаат во различни моменти, а пораките се разликуваат. Грешка при резолуција на име се случува пред било какво TLS ракување. Одбивање на TLS се случува пред да се испратат акредитивите. Одбивање на realm или сметка се враќа како одговор на HTTP ниво од порталот. Само по тие фази започнува PPP преговарањето и само тогаш се појавуваат проблеми со рутирање и DNS.

Точен realm не создава маршрута што недостига и не прави недозволен метод за најава да функционира. Ако порталот инсистира на тек во прелистувач, користете ја патеката поддржана од клиентот за тој тек наместо да ја повторувате размената на лозинка и да се надевате дека сесијата ќе се совпадне.

Чувајте ги вредностите таму каде што следното стартување ќе ги најде

Откако врската ќе успее, запишете ги порталот, портот, сметката и realm во управуваниот профил наместо во alias на shell. Профилите чувани во складиште или систем за управување со конфигурација спречуваат следното стартување тивко да преземе realm од друг профил.

Повторно тестирајте една врска од почеток до крај и потврдете ја и применетата политика и пристапот до ресурс што навистина ви треба. Успешната автентикација е почеток на таа проверка, а не нејзиниот крај.