Pse dështon hyrja në openfortivpn kur ngjitni URL-në e portalit

Dështimi duket si problem kredencialesh: openfortivpn kërkon fjalëkalimin, e dërgon, dhe gateway-i përgjigjet me një refuzim ose me një ridrejtim përsëri në faqen e hyrjes. Përdoruesit pastaj e shkruajnë përsëri fjalëkalimin, provojnë emrin e llogarisë të kualifikuar me domenin dhe në fund ngjitin URL-në e portalit të shfletuesit në fushën e hostit. Është pikërisht ky hap i fundit që e kthen një gabim të vogël konfigurimi në një gabim konfuz.

Një adresë portali Fortinet si https://vpn.example.com/ext mbart disa pjesë informacioni njëherësh, dhe vetëm disa prej tyre i përkasin klientit VPN.

Pika e fundit dhe realm janë hyrje të veçanta

openfortivpn pret një pikë fundi në formën host ose host:port, plus një llogari dhe, kur implementimi përdor një të tillë, një vlerë realm. Realm i thotë gateway-it cila politikë autentikimi të zbatohet përpara se të vlerësojë llogarinë. Është fushë e veçantë, jo një prapashtesë që klienti e nxjerr nga një URL.

Për një implementim, operatori i të cilit konfirmon se realm është ext, një thirrje jo e fshehtë duket kështu: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Të njëjtat vlera shkojnë në skedarin e konfigurimit si zëra host, port, username dhe realm. Lëreni fjalëkalimin jashtë të dyja formave dhe lëreni klientin ta kërkojë, që të mos përfundojë në historikun e shell-it ose në një skedar që të gjithë mund ta lexojnë. Një provë e dytë, ndërsa klienti i parë ende mban tunelin, do të dështojë për një arsye që nuk ka asnjë lidhje me realm.

manuali i openfortivpn rendit të dyja opsionet, kështu që drejtshkrimi i saktë verifikohet lehtë përpara një telefonate te mbështetja. Megjithatë, ai nuk mund t'ju thotë cili realm është konfiguruar në gateway-in tuaj.

Një segment rruge nuk është automatikisht realm

URL-të e portalit mbledhin gjithfarë gjërash pas emrit të hostit: një aplikacion hyrjeje, një zgjedhës gjuhe, një objektiv ridrejtimi, një identifikues sesioni. Të presësh segmentin e fundit të rrugës dhe ta quash realm funksionon mjaft shpesh sa të jetë e rrezikshme. Pyetni operatorin për vlerën e konfiguruar ose lexojeni atë nga profili që shpërndan organizata juaj.

Realm gjithashtu nuk është e njëjta gjë si një prapashtesë domeni në emrin e përdoruesit ose rajoni ku ndodhet gateway-i. Disa implementime duan alice, të tjerat duan alice@corp, dhe realm vendos se cilën prej tyre do të pranojë gateway-i. Ndryshimi i formatit të llogarisë për të kompensuar një realm të gabuar zakonisht prodhon një refuzim të dytë, më pak informativ.

Mos e rregulloni gabimin e realm duke ndryshuar hostin

Zëvendësimi i emrit të hostit me një adresë IP duket si heqje e një shtrese dhe prish më shumë sesa rregullon. Validimi i emrit në TLS krahason certifikatën me emrin që përdori klienti, dhe një adresë IP shfaqet rrallë në emrat alternativë të subjektit të një certifikate. Treguesi i emrit të serverit ndryshon me adresën, kështu që një gateway që pret disa portale në një adresë mund të përgjigjet me atë të gabuar. Mbani emrin e hostit dhe konfigurimin e besimit të paprekur ndërsa korrigjoni parametrin e autentikimit.

Nëse certifikata nuk është e besuar në mjedisin tuaj, rregulloni depon e besimit ose fiksoni me dashje certifikatën e pritur. Çaktivizimi i verifikimit për të anashkaluar një gabim realm e ndërron një problem hyrjeje me një rrezik përgjimi të heshtur.

Ndani një hyrje të refuzuar nga një tunel i dështuar

Dështimet e autentikimit dhe dështimet e tunelit vijnë në momente të ndryshme, dhe mesazhet ndryshojnë. Një gabim zgjidhjeje emri ndodh përpara çdo shtrëngimi duarsh TLS. Një refuzim TLS ndodh përpara se të dërgohen kredencialet. Një refuzim realm ose llogarie kthehet si përgjigje në nivel HTTP nga portali. Vetëm pas këtyre fazave fillon negociata PPP, dhe vetëm atëherë shfaqen problemet e rrjetëzimit dhe DNS.

Një realm i saktë nuk krijon një rrugë që mungon dhe nuk e bën funksional një metodë hyrjeje të pambështetur. Nëse portali këmbëngul në një rrjedhë të bazuar në shfletues, përdorni rrugën e mbështetur nga klienti për atë rrjedhë, në vend që të përsërisni një shkëmbim fjalëkalimi dhe të shpresoni se sesioni përputhet.

Mbajini vlerat atje ku do t'i gjejë nisja tjetër

Sapo një lidhje të ketë sukses, shkruani gateway-in, portin, llogarinë dhe realm në profilin e menaxhuar në vend të një aliasi shell. Profilet e mbajtura në një depo ose në një sistem të menaxhimit të konfigurimit parandalojnë që nisja tjetër të marrë në heshtje realm-in e një profili tjetër.

Ritestoni një lidhje nga fillimi në fund dhe konfirmoni si politikën e zbatuar ashtu edhe aksesin te një burim që ju nevojitet vërtet. Suksesi i autentikimit është fillimi i atij kontrolli, jo fundi i tij.