Mengapa log masuk openfortivpn gagal apabila anda menampal URL portal

Kegagalan itu kelihatan seperti masalah kelayakan: openfortivpn meminta kata laluan, menghantarnya, dan gateway menjawab dengan penolakan atau pengalihan semula ke halaman log masuk. Pengguna kemudian menaip semula kata laluan, mencuba nama akaun yang layak domain, dan akhirnya menampal URL portal pelayar ke medan hos. Langkah terakhir itulah yang menjadikan kesilapan konfigurasi kecil sebagai mengelirukan.

Alamat portal Fortinet seperti https://vpn.example.com/ext membawa beberapa keping maklumat sekali gus, dan hanya sebahagian daripadanya milik klien VPN.

Titik akhir dan realm ialah input berasingan

openfortivpn menjangka titik akhir dalam bentuk host atau host:port, bersama akaun dan, jika penggunaan menggunakan satu, nilai realm. Realm memberitahu gateway dasar pengesahan mana yang perlu digunakan sebelum menilai akaun. Ia medan berasingan, bukan akhiran yang dikeluarkan klien daripada URL.

Bagi penggunaan yang pengendalinya mengesahkan realm ialah ext, panggilan bukan rahsia kelihatan seperti ini: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Nilai yang sama masuk ke fail konfigurasi sebagai entri host, port, username dan realm. Biarkan kata laluan di luar kedua-dua bentuk dan biarkan klien memintanya, supaya ia tidak masuk ke sejarah shell atau fail yang boleh dibaca semua orang. Percubaan kedua semasa klien pertama masih memegang terowong akan gagal atas sebab yang tidak ada kaitan dengan realm.

manual openfortivpn menyenaraikan kedua-dua pilihan, jadi ejaan tepat mudah disahkan sebelum menghubungi sokongan. Namun ia tidak boleh memberitahu realm mana yang dikonfigurasi pada gateway anda.

Segmen laluan bukan realm secara automatik

URL portal mengumpul pelbagai perkara selepas nama hos: aplikasi log masuk, pemilih bahasa, sasaran pengalihan, pengecam sesi. Memotong segmen laluan terakhir dan menyebutnya realm berfungsi cukup kerap sehingga berbahaya. Tanya pengendali tentang nilai yang dikonfigurasi, atau baca daripada profil yang diedarkan organisasi anda.

Realm juga bukan perkara yang sama dengan akhiran domain pada nama pengguna atau wilayah tempat gateway berada. Sesetengah penggunaan mahukan alice, yang lain mahukan alice@corp, dan realm menentukan yang mana akan diterima gateway. Menukar format akaun untuk mengimbangi realm yang salah biasanya menghasilkan penolakan kedua yang kurang bermaklumat.

Jangan betulkan ralat realm dengan menukar hos

Menukar nama hos kepada alamat IP terasa seperti menanggalkan satu lapisan, dan ia merosakkan lebih banyak daripada membaiki. Pengesahan nama TLS membandingkan sijil dengan nama yang digunakan klien, dan alamat IP jarang muncul dalam nama subjek alternatif sijil. Petunjuk nama pelayan berubah dengan alamat, jadi gateway yang menghoskan beberapa portal pada satu alamat mungkin menjawab dengan yang salah. Kekalkan nama hos dan konfigurasi kepercayaan tanpa diubah semasa anda membetulkan parameter pengesahan.

Jika sijil tidak dipercayai dalam persekitaran anda, betulkan stor kepercayaan atau pin sijil yang dijangka secara sengaja. Menyahdayakan pengesahan untuk melangkau ralat realm menukar masalah log masuk dengan risiko pintasan senyap.

Asingkan log masuk yang ditolak daripada terowong yang gagal

Kegagalan pengesahan dan kegagalan terowong datang pada masa yang berbeza, dan mesejnya berbeza. Ralat penyelesaian nama berlaku sebelum sebarang jabat tangan TLS. Penolakan TLS berlaku sebelum kelayakan dihantar. Penolakan realm atau akaun kembali sebagai jawapan pada peringkat HTTP daripada portal. Hanya selepas peringkat itu rundingan PPP bermula, dan hanya ketika itulah masalah penghalaan dan DNS muncul.

Realm yang betul tidak mencipta laluan yang hilang dan tidak membuat kaedah log masuk yang tidak disokong berfungsi. Jika portal berkeras pada aliran berasaskan pelayar, gunakan laluan yang disokong klien untuk aliran itu daripada mengulangi pertukaran kata laluan dan berharap sesi sepadan.

Simpan nilai di tempat pelancaran seterusnya akan menjumpainya

Sebaik sahaja sambungan berjaya, tulis gateway, port, akaun dan realm ke profil terurus dan bukan alias shell. Profil yang disimpan dalam repositori atau sistem pengurusan konfigurasi menghalang pelancaran seterusnya daripada mengambil realm profil lain secara senyap.

Uji semula satu sambungan dari awal hingga akhir dan sahkan dasar yang digunakan serta akses kepada sumber yang benar-benar anda perlukan. Kejayaan pengesahan ialah permulaan semakan itu, bukan penghujungnya.