В FortiClient нет поля для сохранения пароля? Решает шлюз

Вы завершаете установку FortiClient, подключаетесь к офисному SSL VPN и ищете элемент для сохранения пароля, которого просто нет. Переустановка клиента его не возвращает, и удаление туннеля с повторным добавлением тоже не помогает. В профиле SSL VPN межсетевой экран решает, может ли клиент вообще хранить учётные данные. Поэтому отсутствующий флажок обычно означает, что политика пришла со шлюза, а не что установщик не сработал.

Это различие важно до того, как вы начнёте править файлы: один из этих путей — разговор с владельцем межсетевого экрана, а другой — лабораторная работа, которая будет перезаписана.

Проверьте портал, прежде чем трогать конечное устройство

Попросите того, кто администрирует FortiGate, открыть портал SSL VPN, на который указывает ваш туннель, и прочитать его настройку сохранения пароля. Когда параметр отключён, от FortiClient ожидается, что он скроет элемент и откажется сохранять учётные данные. Конечное устройство подчиняется правилу, а не сломано.

Один быстрый тест отделяет политику от сломанного профиля: войдите на портал, который всё ещё разрешает сохранение, а затем вернитесь на свой. Если элемент появляется на разрешающем портале и исчезает на закрытом, остановитесь здесь и попросите изменить настройку на шлюзе. Всё ниже — полевая работа для лабораторного арендатора или тестового профиля, и ничто из этого не важнее решения сервера. Обновление профиля или клиента перезапишет локальную правку.

Windows хранит флаг внутри ключа туннеля

Сохранённые туннели живут под текущим пользователем, один ключ на подключение, а флаг видимости находится рядом с параметрами подключения:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Установите значение 1, выйдите из клиента через системный трей, а не закрывая его окно, и откройте его снова. В сборках 5.x тот же флаг мог находиться под ветвью Wow6432Node ключа HKEY_LOCAL_MACHINE, поэтому смотрите там, когда ключа пользователя нет. Некоторые сборки 6.x перезаписывают значение после успешного подключения, что объясняет флажок, который переживает один вход и исчезает при следующем. Если в вашем ключе такого значения нет вовсе, создайте его как строку, а не угадывайте другие имена.

Относитесь к реестру как к шагу отладки. Живое состояние реестра невидимо следующему администратору, и никакое обновление инвентаризации его не сохранит.

В macOS проследите за клиентом, чтобы найти его файл

Клиент macOS хранит настройки подключения в /Library/Application Support/Fortinet/FortiClient/conf, в словаре для каждого туннеля. Ключ, который нужно задать, — AllowSavePassword, и он должен читаться как 1, пока ключи автоподключения в том же словаре остаются нетронутыми. Перезапустите клиент, когда закончите.

Угадывание точного файла тратит время на незнакомой сборке. Запустите opensnoop, пока добавляете туннель, а затем прочитайте пути, которых коснулся клиент; файл, который он записал, и есть носитель флага. Отредактируйте этот файл при закрытом клиенте, и работа сделана. Пять минут трассировки каждый раз побеждают поиск по всей файловой системе.

Предпочтите цикл экспорта, правки и восстановления

Более новые клиенты позволяют прогнать всю конфигурацию через файл туда и обратно, что легче повторить и передать на другую машину, чем живую хирургию реестра:

• Экспортируйте из настроек клиента, включите пользовательские настройки и задайте пароль экспорта.
• Откройте файл и установите show_remember_password в 1.
• Разблокируйте замок в клиенте; Восстановление ничего не делает, пока он заблокирован.
• Восстановите отредактированный файл и введите пароль экспорта.

Элемент должен появиться при следующем входе. Держите экспортированный файл подальше от общих папок и вложений заявок, потому что он описывает ваши туннели и может содержать зашифрованный секрет.

Если восстановление работает, но флажок снова прячется после подключения, шлюз заново навязывает политику при каждом входе, и никакой локальный файл не удержит настройку надолго.

Удалите секрет, прежде чем он превратится в блокировку учётной записи

У клиента командной строки Linux нет никакого флажка, поэтому обёртка, подающая пароль на stdin, — обычный ответ, и она ничего не хранит. На любой платформе надёжное удаление — вернуть подключение к запросу при входе или удалить туннель полностью.

Сохранённые учётные данные переживают смену пароля, которая их обесценивает, и последующие сбои выглядят как авария VPN: отказы, повторные попытки, затем блокировка учётной записи. Удалите сохранённое значение до смены пароля и просмотрите список туннелей на устаревшие записи, которые всё ещё его содержат. Секрет лежит в хранилище клиента зашифрованным, поэтому править его вручную бессмысленно. Удалить туннель быстрее, и ничего не остаётся.

Пройдите по порядку: подтвердите настройку портала с владельцем межсетевого экрана, докажите источник разрешающим профилем, держите правки реестра или plist внутри лаборатории и знайте, какой файл хранит секрет, чтобы вы могли его удалить. Отсутствующий флажок на портале, который разрешает сохранение, — это проблема конечного устройства, и журналы клиента — следующее место, куда стоит посмотреть.