Zakaj prijava v openfortivpn ne uspe, ko prilepite URL portala

Napaka je videti kot težava s poverilnicami: openfortivpn vpraša za geslo, ga pošlje, prehod pa odgovori z zavrnitvijo ali s preusmeritvijo nazaj na prijavno stran. Uporabniki nato geslo znova vnesejo, poskusijo ime računa z domeno in nazadnje prilepijo URL portala iz brskalnika v polje gostitelja. Prav ta zadnja poteza spremeni majhno konfiguracijsko napako v zmedeno.

Naslov portala Fortinet, kot je https://vpn.example.com/ext, nosi več delov informacij hkrati, in le nekateri od njih pripadajo odjemalcu VPN.

Končna točka in realm sta ločena vnosa

openfortivpn pričakuje končno točko v obliki host ali host:port, poleg tega račun in, kadar uvajanje uporablja enega, vrednost realm. Realm pove prehodu, katero politiko preverjanja pristnosti uporabiti, preden oceni račun. To je ločeno polje, ne pripona, ki jo odjemalec izvleče iz URL.

Za uvajanje, katerega skrbnik potrdi, da je realm ext, je nejavni klic videti takole: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Iste vrednosti sodijo v konfiguracijsko datoteko kot vnosi host, port, username in realm. Geslo pustite zunaj obeh oblik in pustite odjemalcu, da zanj vpraša, da ne konča v zgodovini lupine ali v datoteki, berljivi vsem. Drugi poskus, medtem ko prvi odjemalec še drži tunel, ne bo uspel iz razloga, ki nima nič skupnega z realm.

priročnik openfortivpn navaja obe možnosti, zato je natančen zapis enostavno preveriti pred klicem podpore. Ne more pa vam povedati, kateri realm je nastavljen na vašem prehodu.

Odsek poti ni samodejno realm

URL-ji portala po imenu gostitelja zbirajo marsikaj: aplikacijo za prijavo, izbirnik jezika, cilj preusmeritve, identifikator seje. Odrezati zadnji odsek poti in ga imenovati realm deluje dovolj pogosto, da je nevarno. Vprašajte skrbnika za nastavljeno vrednost ali jo preberite iz profila, ki ga razširja vaša organizacija.

Realm tudi ni isto kot pripona domene v uporabniškem imenu ali regija, v kateri je prehod. Nekatera uvajanja hočejo alice, druga hočejo alice@corp, in realm odloči, katero od tega bo prehod sprejel. Spreminjanje oblike računa za izravnavo napačnega realma običajno prinese drugo, manj informativno zavrnitev.

Napake z realm ne popravljajte s spreminjanjem gostitelja

Zamenjava imena gostitelja z naslovom IP je videti kot odstranitev plasti in pokvari več, kot popravi. Preverjanje imena v TLS primerja potrdilo z imenom, ki ga je uporabil odjemalec, naslov IP pa se v nadomestnih imenih subjekta potrdila redko pojavi. Indikacija imena strežnika se spreminja z naslovom, zato lahko prehod, ki gosti več portalov na enem naslovu, odgovori z napačnim. Ohranite ime gostitelja in konfiguracijo zaupanja nespremenjeni, medtem ko popravljate parameter preverjanja pristnosti.

Če potrdilo v vašem okolju ni zaupanja vredno, popravite shrambo zaupanja ali namerno pripnete pričakovano potrdilo. Izklop preverjanja za obhod napake z realm zamenja težavo s prijavo za tveganje tihega prestrezanja.

Ločite zavrnjeno prijavo od neuspešnega tunela

Neuspehi preverjanja pristnosti in neuspehi tunela nastopijo ob različnih trenutkih, sporočila pa se razlikujejo. Napaka pri razreševanju imena se zgodi pred vsakim rokovanjem TLS. Zavrnitev TLS se zgodi pred pošiljanjem poverilnic. Zavrnitev realma ali računa se vrne kot odgovor na ravni HTTP s portala. Šele po teh stopnjah se začne pogajanje PPP in šele takrat se pojavijo težave z usmerjanjem in DNS.

Pravilen realm ne ustvari manjkajoče poti in ne omogoči nedelujoče metode prijave. Če portal vztraja pri poteku v brskalniku, uporabite za ta potek odjemalcu podprto pot, namesto da ponavljate izmenjavo gesla in upate, da se bo seja ujemala.

Vrednosti hranite tam, kjer jih bo našel naslednji zagon

Ko povezava uspe, zapišite prehod, vrata, račun in realm v upravljani profil namesto v vzdevek lupine. Profili, shranjeni v repozitoriju ali sistemu za upravljanje konfiguracije, preprečijo, da bi naslednji zagon tiho prevzel realm drugega profila.

Znova preizkusite eno povezavo od začetka do konca in potrdite tako uporabljeno politiko kot dostop do vira, ki ga resnično potrebujete. Uspešno preverjanje pristnosti je začetek tega preverjanja, ne njegov konec.