Brak pola Zapisz hasło w FortiClient? Decyduje brama

Kończysz instalację FortiClient, łączysz się z firmowym SSL VPN i szukasz kontrolki zapisywania hasła, której po prostu nie ma. Ponowna instalacja klienta jej nie przywraca, a usunięcie tunelu i dodanie go od nowa też nie pomaga. W profilu SSL VPN to zapora decyduje, czy klient w ogóle może przechowywać dane logowania. Brakującą kontrolkę zwykle oznacza więc politykę przysłaną z bramy, a nie awarię instalatora.

Ta różnica ma znaczenie, zanim zaczniesz edytować pliki: jedna z tych ścieżek to rozmowa z właścicielem zapory, a druga to praca laboratoryjna, która zostanie nadpisana.

Sprawdź portal, zanim dotkniesz stacji

Poproś osobę zarządzającą FortiGate o otwarcie portalu SSL VPN, na który wskazuje twój tunel, i odczytanie ustawienia zapisywania hasła. Gdy opcja jest wyłączona, od FortiClient oczekuje się ukrycia kontrolki i odmowy zapisania danych logowania. Stacja postępuje zgodnie z regułą, a nie jest zepsuta.

Jeden szybki test oddziela politykę od uszkodzonego profilu: zaloguj się do portalu, który nadal pozwala zapisywać, a potem wróć do swojego. Jeśli kontrolka pojawia się na portalu zezwalającym i znika na zablokowanym, zatrzymaj się tutaj i poproś o zmianę po stronie bramy. Wszystko poniżej to praca w terenie dla najemcy laboratoryjnego lub profilu testowego i nic z tego nie przewyższa decyzji serwera. Odświeżenie profilu lub aktualizacja klienta nadpisze lokalną zmianę.

Windows trzyma flagę w kluczu tunelu

Zapisane tunele żyją pod bieżącym użytkownikiem, jeden klucz na połączenie, a flaga widoczności znajduje się obok szczegółów połączenia:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Ustaw wartość na 1, zamknij klienta z zasobnika systemowego zamiast zamykać jego okno, i otwórz go ponownie. W kompilacjach 5.x ta sama flaga mogła znajdować się pod gałęzią Wow6432Node klucza HKEY_LOCAL_MACHINE, więc zajrzyj tam, gdy brakuje klucza użytkownika. Niektóre kompilacje 6.x nadpisują wartość po udanym połączeniu, co wyjaśnia pole, które przetrwa jedno logowanie i znika przy następnym. Jeśli twój klucz w ogóle nie ma takiej wartości, utwórz ją jako ciąg znaków, zamiast zgadywać inne nazwy.

Traktuj rejestr jako krok debugowania. Żywy stan rejestru jest niewidoczny dla następnego administratora i żadne odświeżenie inwentarza go nie zachowa.

W systemie macOS prześledź klienta, aby znaleźć jego plik

Klient macOS przechowuje ustawienia połączenia pod /Library/Application Support/Fortinet/FortiClient/conf, w słowniku dla każdego tunelu. Klucz do ustawienia to AllowSavePassword i musi być odczytany jako 1, podczas gdy klucze automatycznego łączenia w tym samym słowniku pozostają nietknięte. Po zakończeniu uruchom klienta ponownie.

Zgadywanie dokładnego pliku traci czas na nieznanej kompilacji. Uruchom opensnoop podczas dodawania tunelu, a potem odczytaj ścieżki, których klient dotknął; plik, który zapisał, jest tym noszącym flagę. Edytuj ten plik przy zamkniętym kliencie i praca jest skończona. Pięć minut śledzenia za każdym razem bije przeszukanie całego systemu plików.

Wybierz cykl eksportu, edycji i przywracania

Nowsze klienty pozwalają przeprowadzić całą konfigurację przez plik tam i z powrotem, co łatwiej powtórzyć i przekazać na inną maszynę niż chirurgię na żywym rejestrze:

• Wyeksportuj z ustawień klienta, uwzględnij ustawienia użytkownika i ustaw hasło eksportu.
• Otwórz plik i ustaw show_remember_password na 1.
• Odblokuj kłódkę w kliencie; Przywracanie nic nie robi, dopóki jest zablokowana.
• Przywróć edytowany plik i podaj hasło eksportu.

Kontrolka powinna pojawić się przy następnym logowaniu. Trzymaj wyeksportowany plik z dala od folderów udostępnionych i załączników zgłoszeń, bo opisuje twoje tunele i może zawierać zaszyfrowany sekret.

Jeśli przywracanie działa, ale pole po połączeniu znów się ukrywa, brama przy każdym logowaniu ponownie wymusza politykę i żaden lokalny plik nie utrzyma ustawienia długo.

Usuń sekret, zanim zmieni się w blokadę konta

Klient wiersza poleceń Linuksa nie ma żadnego pola, więc nakładka podająca hasło na stdin jest zwykłą odpowiedzią i niczego nie przechowuje. Na każdej platformie niezawodne usunięcie to przełączenie połączenia z powrotem na pytanie przy logowaniu albo całkowite usunięcie tunelu.

Zapisane dane logowania przeżywają zmianę hasła, która je unieważnia, a wynikające z tego błędy wyglądają jak awaria VPN: odrzucenia, ponowienia, a potem blokada konta. Usuń zapisaną wartość, zanim zmienisz hasło, i przejrzyj listę tuneli pod kątem starych wpisów, które nadal ją mają. Sekret leży zaszyfrowany w magazynie klienta, więc ręczna edycja jest bezcelowa. Usunięcie tunelu jest szybsze i nie zostawia niczego.

Przejdź to po kolei: potwierdź ustawienie portalu z właścicielem zapory, udowodnij źródło profilem zezwalającym, trzymaj zmiany w rejestrze lub plist wewnątrz laboratorium i wiedz, który plik trzyma sekret, żeby móc go usunąć. Brakująca kontrolka na portalu, który pozwala zapisywać, to problem stacji, a dzienniki klienta są następnym miejscem do sprawdzenia.