Prečo prihlásenie do openfortivpn zlyhá, keď vložíte URL portálu

Zlyhanie vyzerá ako problém s prihlasovacími údajmi: openfortivpn sa opýta na heslo, odošle ho a brána odpovie odmietnutím alebo presmerovaním späť na prihlasovaciu stránku. Používatelia potom heslo zadajú znova, vyskúšajú názov účtu s doménou a nakoniec vložia URL portálu z prehliadača do poľa hostiteľa. Práve tento posledný krok mení malú chybu v konfigurácii na mätúcu.

Adresa portálu Fortinet, napríklad https://vpn.example.com/ext, nesie niekoľko informácií naraz a iba niektoré z nich patria klientovi VPN.

Koncový bod a realm sú samostatné vstupy

openfortivpn očakáva koncový bod v tvare host alebo host:port, ďalej účet a tam, kde ho nasadenie používa, hodnotu realm. Realm hovorí bráne, akú zásadu overovania uplatniť pred vyhodnotením účtu. Je to samostatné pole, nie prípona, ktorú klient vytiahne z URL.

Pre nasadenie, ktorého správca potvrdí, že realm je ext, vyzerá volanie bez tajomstva takto: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Rovnaké hodnoty patria do konfiguračného súboru ako položky host, port, username a realm. Heslo nechajte mimo oboch podôb a nechajte klienta, aby sa naň opýtal, aby neskončilo v histórii shellu alebo v súbore čitateľnom pre všetkých. Druhý pokus, kým prvý klient stále drží tunel, zlyhá z dôvodu, ktorý s realm nemá nič spoločné.

príručka openfortivpn uvádza obe možnosti, takže presný pravopis sa dá ľahko overiť pred volaním podpory. Nemôže vám však povedať, ktorý realm je nastavený na vašej bráne.

Segment cesty nie je automaticky realm

URL portálov zhromažďujú po názve hostiteľa všeličo: prihlasovaciu aplikáciu, prepínač jazyka, cieľ presmerovania, identifikátor relácie. Odrezať posledný segment cesty a nazvať ho realm funguje dosť často na to, aby to bolo nebezpečné. Opýtajte sa správcu na nastavenú hodnotu alebo ju prečítajte z profilu, ktorý vaša organizácia distribuuje.

Realm tiež nie je to isté ako prípona domény v mene používateľa alebo oblasť, v ktorej brána sídli. Niektoré nasadenia chcú alice, iné chcú alice@corp, a realm rozhoduje, ktorú z nich brána prijme. Zmena formátu účtu na vykompenzovanie nesprávneho realmu zvyčajne prinesie druhé, menej informatívne odmietnutie.

Neopravujte chybu realmu zmenou hostiteľa

Nahradenie názvu hostiteľa IP adresou vyzerá ako odstránenie vrstvy a rozbije viac, než opraví. Overenie názvu v TLS porovnáva certifikát s názvom, ktorý klient použil, a IP adresa sa v alternatívnych názvoch subjektu certifikátu objavuje len zriedka. Indikácia názvu servera sa mení s adresou, takže brána hostujúca niekoľko portálov na jednej adrese môže odpovedať tou nesprávnou. Zachovajte názov hostiteľa aj konfiguráciu dôvery bez zmeny, kým opravujete parameter overovania.

Ak certifikát vo vašom prostredí nie je dôveryhodný, opravte úložisko dôvery alebo očakávaný certifikát vedome pripnite. Vypnutie overovania, aby sa obišla chyba realmu, vymieňa problém s prihlásením za riziko tichého zachytenia.

Oddeľte odmietnuté prihlásenie od neúspešného tunela

Zlyhania overovania a zlyhania tunela prichádzajú v rôznych okamihoch a správy sa líšia. Chyba prekladu názvu nastane pred akýmkoľvek podaním ruky TLS. Odmietnutie TLS nastane pred odoslaním údajov. Odmietnutie realmu alebo účtu sa vracia ako odpoveď na úrovni HTTP z portálu. Až po týchto fázach sa začína vyjednávanie PPP a až vtedy sa objavujú problémy so smerovaním a DNS.

Správny realm nevytvára chýbajúcu trasu a nespôsobí, že nepodporovaný spôsob prihlásenia bude fungovať. Ak portál trvá na toku v prehliadači, použite pre tento tok klientom podporovanú cestu, namiesto opakovania výmeny hesla a dúfania, že relácia bude sedieť.

Uchovajte hodnoty tam, kde ich nájde nasledujúce spustenie

Keď spojenie uspeje, zapíšte bránu, port, účet a realm do spravovaného profilu namiesto aliasu v shelli. Profily uložené v repozitári alebo v systéme správy konfigurácie zabránia tomu, aby nasledujúce spustenie potichu prevzalo realm iného profilu.

Znova otestujte jedno spojenie od začiatku do konca a potvrďte aj uplatnenú zásadu, aj prístup k zdroju, ktorý skutočne potrebujete. Úspešné overenie je začiatok tejto kontroly, nie jej koniec.