De ce eșuează autentificarea openfortivpn când lipiți URL-ul portalului

Eșecul arată ca o problemă de acreditări: openfortivpn cere parola, o trimite, iar gateway-ul răspunde cu o respingere sau cu o redirecționare înapoi la pagina de autentificare. Utilizatorii retastează apoi parola, încearcă numele de cont calificat cu domeniul și, în final, lipesc URL-ul portalului din browser în câmpul de host. Exact acest ultim pas transformă o mică eroare de configurare într-una confuză.

O adresă de portal Fortinet precum https://vpn.example.com/ext poartă mai multe informații deodată, iar doar unele dintre ele aparțin clientului VPN.

Punctul final și realm sunt intrări separate

openfortivpn așteaptă un punct final sub forma host sau host:port, plus un cont și, acolo unde implementarea folosește una, o valoare de realm. Realm spune gateway-ului ce politică de autentificare să aplice înainte de a evalua contul. Este un câmp separat, nu un sufix pe care clientul îl extrage dintr-un URL.

Pentru o implementare al cărei operator confirmă că realm este ext, un apel neseceret arată astfel: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Aceleași valori intră în fișierul de configurare ca intrări host, port, username și realm. Lăsați parola în afara ambelor forme și lăsați clientul să o ceară, ca să nu ajungă în istoricul shell-ului sau într-un fișier lizibil de toți. O a doua încercare în timp ce primul client ține încă tunelul va eșua dintr-un motiv care nu are nimic de-a face cu realm.

manualul openfortivpn listează ambele opțiuni, așa că ortografia exactă este ușor de confirmat înainte de un apel la suport. Nu vă poate spune însă ce realm este configurat pe gateway-ul dumneavoastră.

Un segment de cale nu este automat un realm

URL-urile de portal adună fel de fel de lucruri după numele de host: o aplicație de autentificare, un selector de limbă, o țintă de redirecționare, un identificator de sesiune. Să tai ultimul segment de cale și să-l numești realm funcționează destul de des încât să fie periculos. Întrebați operatorul despre valoarea configurată sau citiți-o din profilul pe care organizația dumneavoastră îl distribuie.

Un realm nu este nici același lucru cu un sufix de domeniu la numele de utilizator sau cu regiunea în care se află gateway-ul. Unele implementări vor alice, altele vor alice@corp, iar realm decide pe care dintre ele îl va accepta gateway-ul. Schimbarea formatului contului pentru a compensa un realm greșit produce de obicei o a doua respingere, mai puțin informativă.

Nu reparați o eroare de realm schimbând hostul

Înlocuirea numelui de host cu o adresă IP pare să elimine un strat și strică mai mult decât repară. Validarea numelui TLS compară certificatul cu numele folosit de client, iar o adresă IP apare rar în numele alternative de subiect ale unui certificat. Indicarea numelui serverului se schimbă cu adresa, așa că un gateway care găzduiește mai multe portaluri pe o adresă poate răspunde cu cel greșit. Păstrați numele de host și configurația de încredere intacte în timp ce corectați parametrul de autentificare.

Dacă certificatul nu este de încredere în mediul dumneavoastră, reparați depozitul de încredere sau fixați deliberat certificatul așteptat. Dezactivarea verificării pentru a ocoli o eroare de realm schimbă o problemă de autentificare pe un risc de interceptare silențioasă.

Separați o autentificare respinsă de un tunel eșuat

Eșecurile de autentificare și eșecurile de tunel apar în momente diferite, iar mesajele diferă. O eroare de rezolvare a numelui apare înainte de orice strângere de mână TLS. O respingere TLS apare înainte ca acreditările să fie trimise. O respingere de realm sau de cont revine ca răspuns la nivel HTTP de la portal. Abia după aceste etape începe negocierea PPP și abia atunci apar probleme de rutare și DNS.

Un realm corect nu creează o rută lipsă și nu face să funcționeze o metodă de autentificare neacceptată. Dacă portalul insistă pe un flux bazat pe browser, folosiți calea acceptată de client pentru acel flux în loc să repetați un schimb de parolă și să sperați că sesiunea se potrivește.

Păstrați valorile acolo unde următoarea pornire le va găsi

Odată ce o conexiune reușește, scrieți gateway-ul, portul, contul și realm în profilul gestionat, nu într-un alias de shell. Profilurile păstrate într-un depozit sau într-un sistem de gestionare a configurației împiedică următoarea pornire să preia în tăcere realm-ul altui profil.

Retestați o conexiune de la un capăt la altul și confirmați atât politica aplicată, cât și accesul la o resursă de care aveți cu adevărat nevoie. Succesul autentificării este începutul acelei verificări, nu sfârșitul.