Hvorfor openfortivpn-innlogging mislykkes når du limer inn portal-URL-en

Feilen ser ut som et problem med påloggingsinformasjonen: openfortivpn spør etter passordet, sender det, og gatewayen svarer med en avvisning eller en omdirigering tilbake til påloggingssiden. Brukerne skriver da passordet på nytt, prøver det domenekvalifiserte kontonavnet og limer til slutt inn nettleserens portal-URL i vertsfeltet. Det er dette siste trekket som gjør en liten konfigurasjonsfeil til en forvirrende en.

En Fortinet-portaladresse som https://vpn.example.com/ext bærer flere opplysninger samtidig, og bare noen av dem tilhører VPN-klienten.

Endepunktet og realm er separate inndata

openfortivpn forventer et endepunkt i formen host eller host:port, pluss en konto og, der utrullingen bruker en, en realm-verdi. Realm forteller gatewayen hvilken autentiseringspolicy som skal brukes før den vurderer kontoen. Det er et eget felt, ikke et suffiks klienten trekker ut av en URL.

For en utrulling der operatøren bekrefter at realm er ext, ser et ikke-hemmelig kall slik ut: openfortivpn vpn.example.com:443 --username=alice --realm=ext. De samme verdiene hører i konfigurasjonsfilen som host-, port-, username- og realm-oppføringer. La passordet være utenfor begge formene og la klienten spørre, slik at det ikke havner i skallhistorikken eller i en fil alle kan lese. Et nytt forsøk mens den første klienten fortsatt holder tunnelen, vil mislykkes av en grunn som ikke har noe med realm å gjøre.

openfortivpn-håndboken lister begge valgene, så den nøyaktige skrivemåten er lett å bekrefte før en supporttelefon. Den kan imidlertid ikke fortelle deg hvilket realm som er konfigurert på gatewayen din.

Et stisegment er ikke automatisk et realm

Portal-URL-er samler alt mulig etter vertsnavnet: en påloggingsapplikasjon, en språkvelger, et omdirigeringsmål, en sesjonsidentifikator. Å klippe av det siste stisegmentet og kalle det et realm virker ofte nok til å være farlig. Spør operatøren om den konfigurerte verdien, eller les den fra profilen organisasjonen din distribuerer.

Et realm er heller ikke det samme som et domenesuffiks på brukernavnet eller regionen gatewayen ligger i. Noen utrullinger vil ha alice, andre vil ha alice@corp, og realm avgjør hvilken av dem gatewayen godtar. Å endre kontoformatet for å kompensere for et feil realm gir vanligvis en andre, mindre informativ avvisning.

Ikke fiks en realm-feil ved å endre verten

Å bytte vertsnavnet mot en IP-adresse føles som å fjerne et lag, og det ødelegger mer enn det reparerer. TLS-navnevalidering sammenligner sertifikatet med navnet klienten brukte, og en IP-adresse forekommer sjelden i et sertifikats alternative subjektnavn. Server Name Indication endres med adressen, så en gateway som er vert for flere portaler på én adresse, kan svare med den feil. Hold vertsnavnet og tillitskonfigurasjonen intakt mens du retter autentiseringsparameteren.

Hvis sertifikatet ikke er klarert i miljøet ditt, reparer tillitslageret eller fest det forventede sertifikatet bevisst. Å slå av verifisering for å komme rundt en realm-feil bytter et påloggingsproblem mot en risiko for stille avlytting.

Skill en avvist pålogging fra en mislykket tunnel

Autentiseringsfeil og tunnelfeil kommer på forskjellige tidspunkter, og meldingene er forskjellige. En navneoppløsningsfeil skjer før enhver TLS-håndtrykk. En TLS-avvisning skjer før påloggingsinformasjon sendes. En avvisning av realm eller konto kommer tilbake som et svar på HTTP-nivå fra portalen. Først etter disse fasene begynner PPP-forhandlingen, og først da dukker rute- og DNS-problemer opp.

Et riktig realm lager ikke en manglende rute, og det får ikke en ikke-støttet påloggingsmetode til å virke. Hvis portalen insisterer på en nettleserbasert flyt, bruk klientens støttede vei for den flyten i stedet for å gjenta en passordutveksling og håpe at sesjonen passer.

Oppbevar verdiene der neste oppstart vil finne dem

Når en tilkobling lykkes, skriv gatewayen, porten, kontoen og realm inn i den administrerte profilen i stedet for et skall-alias. Profiler som oppbevares i et depot eller et konfigurasjonsstyringssystem, hindrer neste oppstart i å plukke opp et annet profils realm i stillhet.

Test én tilkobling på nytt fra ende til annen, og bekreft både policyen som ble brukt og tilgangen til en ressurs du faktisk trenger. At autentiseringen lykkes er starten på den kontrollen, ikke slutten.