Зашто пријава на openfortivpn не успева када налепите URL портала

Неуспех изгледа као проблем са акредитивима: openfortivpn тражи лозинку, шаље је, а мрежни пролаз одговара одбијањем или преусмеравањем назад на страницу за пријаву. Корисници тада поново укуцавају лозинку, испробавају назив налога са доменом и на крају налепе URL портала из прегледача у поље домаћина. Управо тај последњи потез претвара малу грешку у конфигурацији у збуњујућу.

Адреса Fortinet портала као https://vpn.example.com/ext носи неколико делова информација одједном, а само неки од њих припадају VPN клијенту.

Крајња тачка и realm су одвојени уноси

openfortivpn очекује крајњу тачку у облику host или host:port, плус налог и, где распоређивање користи, вредност realma. Realm саопштава мрежном пролазу која политика провере идентитета се примењује пре оцене налога. То је одвојено поље, а не суфикс који клијент извлачи из URL-а.

За распоређивање чији оператер потврђује да је realm ext, позив који није тајна изгледа овако: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Исте вредности припадају у конфигурациону датотеку као уноси host, port, username и realm. Оставите лозинку изван оба облика и пустите клијента да је затражи, како не би завршила у историји љуске или у датотеци читљивој за све. Други покушај док први клијент још држи тунел неће успети из разлога који нема никакве везе са realmom.

приручник за openfortivpn наводи обе опције, па је тачан начин писања лако проверити пре позива подршци. Не може вам, међутим, рећи који је realm конфигурисан на вашем мрежном пролазу.

Сегмент путање није аутоматски realm

URL-ови портала скупљају разне ствари после имена домаћина: апликацију за пријаву, бирач језика, одредиште преусмерења, идентификатор сесије. Одсецање последњег сегмента путање и називање тога realmom ради довољно често да буде опасно. Питајте оператера за конфигурисану вредност или је прочитајте из профила који ваша организација дели.

Realm такође није исто што и суфикс домена у корисничком имену или регија у којој се мрежни пролаз налази. Неке инсталације желе alice, друге желе alice@corp, а realm одлучује које ће мрежни пролаз прихватити. Промена облика налога да би се надокнадио погрешан realm обично даје другу, мање информативну одбијеницу.

Не поправљајте грешку realma мењањем домаћина

Замена имена домаћина IP адресом изгледа као уклањање слоја и квари више него што поправља. TLS провера имена пореди сертификат са именом које је клијент користио, а IP адреса се ретко појављује у алтернативним именима субјекта сертификата. Индикатор имена сервера мења се са адресом, па мрежни пролаз који на једној адреси хостује неколико портала може одговорити погрешним. Задржите име домаћина и конфигурацију поверења нетакнутим док исправљате параметар провере идентитета.

Ако сертификат није поуздан у вашем окружењу, поправите складиште поверења или намерно закачите очекивани сертификат. Искључивање провере да би се заобишла грешка realma замењује проблем пријаве ризиком тихог пресретања.

Одвојите одбијену пријаву од неуспешног тунела

Неуспеси провере идентитета и неуспеси тунела долазе у различитим тренуцима, а поруке се разликују. Грешка разрешавања имена догађа се пре било каквог TLS руковања. Одбијање TLS-а догађа се пре слања акредитива. Одбијање realma или налога враћа се као одговор на HTTP нивоу од портала. Тек после тих фаза почиње PPP преговарање и тек тада се појављују проблеми са рутирањем и DNS-ом.

Исправан realm не ствара руту која недостаје и не чини недозвољен метод пријаве функционалним. Ако портал инсистира на току у прегледачу, користите путању коју клијент подржава за тај ток уместо да понављате размену лозинке и надате се да ће се сесија поклопити.

Чувајте вредности тамо где ће их следеће покретање наћи

Када веза успе, упишите мрежни пролаз, порт, налог и realm у управљани профил уместо у алијас љуске. Профили који се чувају у складишту или систему за управљање конфигурацијом спречавају следеће покретање да тихо преузме realm другог профила.

Поново тестирајте једну везу од почетка до краја и потврдите и примењену политику и приступ ресурсу који вам је заиста потребан. Успешна провера идентитета је почетак те провере, а не њен крај.