Caixa Salvar senha ausente no FortiClient? Quem decide é o gateway

Você termina a instalação do FortiClient, conecta-se à SSL VPN do escritório e procura um controle para salvar a senha que simplesmente não existe. Reinstalar o cliente não o traz de volta, e apagar o túnel e adicioná-lo de novo também não. Em um perfil SSL VPN, o firewall decide se o cliente pode armazenar credenciais. Uma caixa ausente normalmente significa, então, que uma política chegou do gateway, e não que o instalador falhou.

Essa distinção importa antes de começar a editar arquivos: um desses caminhos é uma conversa com o dono do firewall, e o outro é trabalho de laboratório que será sobrescrito.

Verifique o portal antes de mexer no equipamento

Peça a quem administra o FortiGate que abra o portal SSL VPN para o qual seu túnel aponta e leia a configuração de salvamento de senha. Quando a opção está desativada, espera-se que o FortiClient oculte o controle e se recuse a armazenar a credencial. O equipamento está obedecendo à regra, não está com defeito.

Um teste rápido separa política de perfil quebrado: entre em um portal que ainda permite salvar e depois volte ao seu. Se o controle aparece no portal permissivo e desaparece no bloqueado, pare aqui e peça a mudança no gateway. Tudo abaixo é trabalho de campo para um inquilino de laboratório ou um perfil de teste, e nada disso se sobrepõe à decisão do servidor. Uma atualização de perfil ou do cliente reescreverá a edição local.

O Windows guarda o sinalizador dentro da chave do túnel

Os túneis salvos vivem sob o usuário atual, uma chave por conexão, e o sinalizador de visibilidade fica ao lado dos detalhes da conexão:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Defina o valor como 1, saia do cliente pela bandeja em vez de fechar a janela e abra-o de novo. Nas compilações 5.x, o mesmo sinalizador podia ficar sob o ramo Wow6432Node de HKEY_LOCAL_MACHINE, então olhe ali quando a chave por usuário estiver ausente. Algumas compilações 6.x reescrevem o valor após uma conexão bem-sucedida, o que explica uma caixa que sobrevive a um login e desaparece no seguinte. Se a sua chave não tiver nenhum valor assim, crie-o como string em vez de adivinhar outros nomes.

Trate o registro como uma etapa de depuração. O estado vivo do registro é invisível para o próximo administrador, e nenhuma atualização de inventário vai preservá-lo.

No macOS, rastreie o cliente para encontrar o arquivo dele

O cliente do macOS guarda as configurações por conexão em /Library/Application Support/Fortinet/FortiClient/conf, em um dicionário para cada túnel. A chave a definir é AllowSavePassword, e ela precisa ser lida como 1 enquanto as chaves de conexão automática desse mesmo dicionário permanecem intactas. Reinicie o cliente quando terminar.

Adivinhar o arquivo exato perde tempo em uma compilação desconhecida. Execute o opensnoop enquanto adiciona o túnel e depois leia os caminhos que o cliente tocou; o arquivo que ele gravou é o que carrega o sinalizador. Edite esse arquivo com o cliente fechado e o trabalho acabou. Cinco minutos de rastreamento vencem, todas as vezes, uma busca em todo o sistema de arquivos.

Prefira um ciclo de exportar, editar e restaurar

Clientes mais novos permitem transportar toda a configuração por um arquivo, o que é mais fácil de repetir e entregar a outra máquina do que cirurgia ao vivo no registro:

• Exporte pelas configurações do cliente, inclua as configurações de usuário e defina uma senha de exportação.
• Abra o arquivo e defina show_remember_password como 1.
• Destrave o cadeado no cliente; Restaurar não faz nada enquanto ele está travado.
• Restaure o arquivo editado e informe a senha de exportação.

O controle deve aparecer no próximo login. Mantenha o arquivo exportado longe de pastas compartilhadas e de anexos de chamados, porque ele descreve seus túneis e pode conter um segredo criptografado.

Se a restauração funciona mas a caixa se esconde de novo após conectar, o gateway está reimpondo a política a cada login e nenhum arquivo local manterá a configuração por muito tempo.

Apague o segredo antes que ele vire um bloqueio de conta

O cliente de linha de comando do Linux não tem caixa nenhuma, então um wrapper que entrega a senha no stdin é a resposta usual e não armazena nada. Em qualquer plataforma, a remoção confiável é voltar a conexão a pedir a senha no login ou excluir o túnel de vez.

Uma credencial salva sobrevive à troca de senha que a invalida, e as falhas resultantes parecem uma queda de VPN: recusas, novas tentativas e então um bloqueio de conta. Apague o valor armazenado antes de trocar uma senha e revise a lista de túneis em busca de entradas antigas que ainda carreguem uma. O segredo fica criptografado no armazenamento do cliente, então editá-lo à mão é inútil. Excluir o túnel é mais rápido e não deixa nada para trás.

Percorra na ordem: confirme a configuração do portal com o dono do firewall, comprove a origem com um perfil permissivo, mantenha edições de registro ou plist dentro de um laboratório e saiba qual arquivo guarda o segredo para poder removê-lo. Uma caixa ausente em um portal que permite salvar é problema do equipamento, e os logs do cliente são o próximo lugar a olhar.