FortiClient mangler avkrysningsruten Lagre passord? Gatewayen bestemmer

Du fullfører installasjonen av FortiClient, kobler til kontorets SSL VPN og ser etter en kontroll for å lagre passord som rett og slett ikke er der. Å installere klienten på nytt bringer den ikke tilbake, og det gjør heller ikke å slette tunnelen og legge den til igjen. I en SSL VPN-profil avgjør brannmuren om klienten i det hele tatt kan lagre påloggingsinformasjon. En manglende avkrysningsrute betyr derfor vanligvis at en policy kom fra gatewayen, ikke at installasjonsprogrammet feilet.

Den forskjellen betyr noe før du begynner å redigere filer: en av disse veiene er en samtale med brannmurens eier, og den andre er laboratoriearbeid som blir overskrevet.

Sjekk portalen før du rører endepunktet

Be den som drifter FortiGate om å åpne SSL VPN-portalen tunnelen din peker på og lese innstillingen for passordlagring. Når alternativet er deaktivert, forventes FortiClient å skjule kontrollen og nekte å lagre påloggingsinformasjonen. Endepunktet adlyder regelen i stedet for å være defekt.

Én rask test skiller policy fra en ødelagt profil: logg inn på en portal som fortsatt tillater lagring, og gå så tilbake til din egen. Hvis kontrollen vises på den tillatende portalen og forsvinner på den låste, stopper du her og ber om endringen i gatewayen. Alt nedenfor er feltarbeid for en laboratorieleietaker eller en testprofil, og ingenting av det overstyrer serverens beslutning. En oppdatering av profilen eller klienten vil overskrive den lokale endringen.

Windows holder flagget inne i tunnelens nøkkel

Lagrede tunneler lever under den gjeldende brukeren, én nøkkel per tilkobling, og synlighetsflagget sitter ved siden av tilkoblingsdetaljene:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Sett verdien til 1, avslutt klienten fra systemstatusfeltet i stedet for å lukke vinduet, og åpne den igjen. I 5.x-bygg kunne det samme flagget ligge under Wow6432Node-grenen til HKEY_LOCAL_MACHINE, så se der når nøkkelen per bruker mangler. Noen 6.x-bygg skriver over verdien etter en vellykket tilkobling, noe som forklarer en avkrysningsrute som overlever én innlogging og forsvinner ved den neste. Hvis nøkkelen din ikke har en slik verdi i det hele tatt, oppretter du den som en streng i stedet for å gjette på andre navn.

Behandle registeret som et feilsøkingstrinn. Den levende tilstanden er usynlig for neste administrator, og ingen oppdatering av oversikten bevarer den.

På macOS kan du spore klienten for å finne filen dens

macOS-klienten holder innstillinger per tilkobling under /Library/Application Support/Fortinet/FortiClient/conf, i en ordbok for hver tunnel. Nøkkelen som skal settes, er AllowSavePassword, og den må leses som 1 mens auto-tilkoblingsnøklene i samme ordbok forblir intakte. Start klienten på nytt når du er ferdig.

Å gjette den nøyaktige filen kaster bort tid på et ukjent bygg. Kjør opensnoop mens du legger til tunnelen, og les deretter stiene klienten har berørt; filen den skrev, er den som bærer flagget. Rediger den filen med klienten lukket, og arbeidet er gjort. Fem minutters sporing slår hver gang et søk i hele filsystemet.

Foretrekk en syklus med eksport, redigering og gjenoppretting

Nyere klienter lar deg kjøre hele konfigurasjonen gjennom en fil frem og tilbake, noe som er lettere å gjenta og gi videre til en annen maskin enn levende registerkirurgi:

• Eksporter fra klientinnstillingene, ta med brukerinnstillinger, og sett et eksportpassord.
• Åpne filen og sett show_remember_password til 1.
• Lås opp hengelåsen i klienten; Gjenopprett gjør ingenting mens den er låst.
• Gjenopprett den redigerte filen og oppgi eksportpassordet.

Kontrollen skal dukke opp ved neste innlogging. Hold den eksporterte filen unna delte mapper og vedlegg i saker, fordi den beskriver tunnelene dine og kan inneholde en kryptert hemmelighet.

Hvis gjenopprettingen virker, men feltet skjuler seg igjen etter tilkobling, håndhever gatewayen policyen på nytt ved hver innlogging, og ingen lokal fil holder innstillingen lenge.

Tøm hemmeligheten før den blir til en kontolås

Linux-klienten for kommandolinje har ingen avkrysningsrute i det hele tatt, så en innpakning som gir passordet på stdin, er det vanlige svaret, og den lagrer ingenting. På enhver plattform er den pålitelige fjerningen å sette tilkoblingen tilbake til å spørre ved innlogging eller slette tunnelen helt.

Lagret påloggingsinformasjon overlever passordendringen som gjør den ugyldig, og feilene som følger, ser ut som et VPN-utfall: avvisninger, nye forsøk og deretter en kontolås. Tøm den lagrede verdien før du bytter passord, og gå gjennom tunnellisten for foreldede oppføringer som fortsatt bærer en. Hemmeligheten ligger kryptert i klientens lager, så det er meningsløst å redigere den for hånd. Å slette tunnelen er raskere og etterlater ingenting.

Gå gjennom det i rekkefølge: bekreft portalinnstillingen med brannmurens eier, bevis kilden med en tillatende profil, hold register- eller plist-endringer innenfor et laboratorium, og vit hvilken fil som holder hemmeligheten, slik at du kan fjerne den. En manglende avkrysningsrute på en portal som tillater lagring, er et endepunktproblem, og klientloggene er neste sted å se.