Kvifor openfortivpn-innlogging mislykkast når du limer inn portal-URL-en

Feilen ser ut som eit problem med påloggingsinformasjonen: openfortivpn spør etter passordet, sender det, og gatewayen svarar med ei avvising eller ei omdirigering tilbake til påloggingssida. Brukarane skriv då passordet på nytt, prøver det domenekvalifiserte kontonamnet og limer til slutt inn portal-URL-en til nettlesaren i vertsfeltet. Det er nettopp dette siste trekket som gjer ein liten konfigurasjonsfeil til ein forvirrande ein.

Ei Fortinet-portaladresse som https://vpn.example.com/ext ber fleire opplysningar samstundes, og berre nokre av dei høyrer til VPN-klienten.

Endepunktet og realm er separate inndata

openfortivpn ventar eit endepunkt i forma host eller host:port, pluss ein konto og, der utrullinga brukar ein, ein realm-verdi. Realm fortel gatewayen kva autentiseringspolitikk som skal brukast før han vurderer kontoen. Det er eit eige felt, ikkje eit suffiks klienten dreg ut av ein URL.

For ei utrulling der operatøren stadfestar at realm er ext, ser eit ikkje-hemmeleg kall slik ut: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Dei same verdiane høyrer i konfigurasjonsfila som host-, port-, username- og realm-oppføringar. Lat passordet vere utanfor begge formene og lat klienten spørje, slik at det ikkje hamnar i skalhistoria eller i ei fil alle kan lese. Eit nytt forsøk medan den første klienten framleis held tunnelen, vil mislukkast av ein grunn som ikkje har noko med realm å gjere.

openfortivpn-handboka listar begge vala, så den nøyaktige skrivemåten er lett å stadfeste før ein supporttelefon. Ho kan likevel ikkje seie deg kva realm som er konfigurert på gatewayen din.

Eit stisegment er ikkje automatisk eit realm

Portal-URL-ar samlar alt mogleg etter vertsnamnet: ein påloggingsapplikasjon, ein språkveljar, eit omdirigeringsmål, ein sesjonsidentifikator. Å klippe av det siste stisegmentet og kalle det eit realm verkar ofte nok til å vere farleg. Spør operatøren om den konfigurerte verdien, eller les han frå profilen organisasjonen din distribuerer.

Eit realm er heller ikkje det same som eit domenesuffiks på brukarnamnet eller regionen gatewayen ligg i. Nokre utrullingar vil ha alice, andre vil ha alice@corp, og realm avgjer kva av dei gatewayen godtek. Å endre kontoformatet for å kompensere for eit feil realm gjev vanlegvis ei andre, mindre informativ avvising.

Ikkje rett opp ein realm-feil ved å endre verten

Å byte vertsnamnet mot ei IP-adresse kjennest som å fjerne eit lag, og det øydelegg meir enn det reparerer. TLS-navnevalidering samanliknar sertifikatet med namnet klienten brukte, og ei IP-adresse førekjem sjeldan i sertifikatet sine alternative subjektnamn. Server Name Indication endrar seg med adressa, så ein gateway som er vert for fleire portalar på éi adresse, kan svare med den feil. Hald vertsnamnet og tillitskonfigurasjonen intakt medan du rettar autentiseringsparameteren.

Viss sertifikatet ikkje er klarert i miljøet ditt, reparer tillitslageret eller fest det venta sertifikatet med vilje. Å slå av verifisering for å kome rundt ein realm-feil byter eit påloggingsproblem mot ein risiko for stille avlytting.

Skil ei avvist pålogging frå ein mislukka tunnel

Autentiseringsfeil og tunnelfeil kjem på ulike tidspunkt, og meldingane er ulike. Ein namneoppløysingsfeil skjer før kvar einaste TLS-handtrykk. Ei TLS-avvising skjer før påloggingsinformasjon blir send. Ei avvising av realm eller konto kjem tilbake som eit svar på HTTP-nivå frå portalen. Først etter desse fasane byrjar PPP-forhandlinga, og først då dukkar rute- og DNS-problem opp.

Eit riktig realm lagar ikkje ei manglande rute, og det får ikkje ein ikkje-støtta påloggingsmetode til å verke. Viss portalen insisterer på ein nettlesarbasert flyt, bruk den støtta vegen til klienten for den flyten i staden for å gjenta ei passordutveksling og håpe at sesjonen passar.

Oppbevar verdiane der neste oppstart vil finne dei

Når ei tilkopling lukkast, skriv gatewayen, porten, kontoen og realm inn i den styrte profilen i staden for eit skal-alias. Profilar som blir oppbevarte i eit depot eller eit konfigurasjonsstyringssystem, hindrar neste oppstart i å plukke opp eit annan profil sitt realm i det stille.

Test éi tilkopling på nytt frå ende til annan, og stadfest både policyen som vart brukt og tilgangen til ein ressurs du faktisk treng. At autentiseringa lukkast er starten på den kontrollen, ikkje slutten.