Saknar FortiClient kryssrutan Spara lösenord? Gatewayen avgör

Du slutför installationen av FortiClient, ansluter till kontorets SSL VPN och letar efter en kontroll för att spara lösenordet som helt enkelt inte finns. Att installera om klienten tar inte tillbaka den, och det gör inte heller att ta bort tunneln och lägga till den igen. I en SSL VPN-profil avgör brandväggen om klienten alls får lagra inloggningsuppgifter. En saknad kryssruta betyder därför oftast att en policy kom från gatewayen, inte att installationsprogrammet misslyckades.

Den skillnaden spelar roll innan du börjar redigera filer: en av dessa vägar är ett samtal med brandväggens ägare, och den andra är laboratoriearbete som skrivs över.

Kontrollera portalen innan du rör slutpunkten

Be den som driftar FortiGate att öppna den SSL VPN-portal som din tunnel pekar på och läsa dess inställning för lösenordslagring. När alternativet är inaktiverat förväntas FortiClient dölja kontrollen och vägra lagra inloggningsuppgifterna. Slutpunkten lyder regeln i stället för att vara trasig.

Ett snabbt test skiljer policy från en trasig profil: logga in på en portal som fortfarande tillåter lagring och gå sedan tillbaka till din egen. Om kontrollen dyker upp på den tillåtande portalen och försvinner på den låsta, stanna här och begär ändringen i gatewayen. Allt nedan är fältarbete för en laboratoriehyresgäst eller en testprofil, och inget av det går före serverns beslut. En uppdatering av profilen eller klienten skriver över den lokala ändringen.

Windows håller flaggan inne i tunnelns nyckel

Sparade tunnlar lever under den aktuella användaren, en nyckel per anslutning, och synlighetsflaggan sitter bredvid anslutningsuppgifterna:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Sätt värdet till 1, avsluta klienten från systemfältet i stället för att stänga fönstret och öppna den igen. I 5.x-byggen kunde samma flagga ligga under grenen Wow6432Node i HKEY_LOCAL_MACHINE, så titta där när nyckeln per användare saknas. Vissa 6.x-byggen skriver över värdet efter en lyckad anslutning, vilket förklarar en kryssruta som överlever en inloggning och försvinner vid nästa. Om din nyckel inte har något sådant värde alls, skapa det som en sträng i stället för att gissa andra namn.

Behandla registret som ett felsökningssteg. Det levande registretillståndet är osynligt för nästa administratör, och ingen inventarieuppdatering bevarar det.

På macOS kan du spåra klienten för att hitta dess fil

macOS-klienten håller inställningar per anslutning under /Library/Application Support/Fortinet/FortiClient/conf, i en ordbok för varje tunnel. Nyckeln som ska sättas är AllowSavePassword, och den måste läsas som 1 medan automatanslutningsnycklarna i samma ordbok förblir intakta. Starta om klienten när du är klar.

Att gissa den exakta filen slösar tid på ett okänt bygge. Kör opensnoop medan du lägger till tunneln och läs sedan de sökvägar klienten rörde vid; filen den skrev är den som bär flaggan. Redigera den filen med klienten stängd och arbetet är klart. Fem minuters spårning slår varje gång en sökning i hela filsystemet.

Föredra en cykel med export, redigering och återställning

Nyare klienter låter dig köra hela konfigurationen genom en fil fram och tillbaka, vilket är lättare att upprepa och lämna vidare till en annan maskin än levande registerkirurgi:

• Exportera från klientinställningarna, inkludera användarinställningar och ange ett exportlösenord.
• Öppna filen och sätt show_remember_password till 1.
• Lås upp hänglåset i klienten; Återställ gör ingenting medan det är låst.
• Återställ den redigerade filen och ange exportlösenordet.

Kontrollen bör dyka upp vid nästa inloggning. Håll den exporterade filen borta från delade mappar och bilagor i ärenden, eftersom den beskriver dina tunnlar och kan innehålla en krypterad hemlighet.

Om återställningen fungerar men rutan gömmer sig igen efter anslutning, genomdriver gatewayen policyn på nytt vid varje inloggning och ingen lokal fil håller inställningen länge.

Rensa hemligheten innan den blir en kontolåsning

Linux-klienten för kommandoraden har ingen kryssruta alls, så ett omslag som matar in lösenordet på stdin är det vanliga svaret och det lagrar ingenting. På vilken plattform som helst är den pålitliga borttagningen att ställa tillbaka anslutningen till att fråga vid inloggning eller att radera tunneln helt.

Sparade inloggningsuppgifter överlever lösenordsbytet som gör dem ogiltiga, och felen som följer ser ut som ett VPN-avbrott: avvisningar, nya försök och sedan en kontolåsning. Rensa det sparade värdet innan du byter lösenord och gå igenom tunnellistan efter föråldrade poster som fortfarande bär en. Hemligheten ligger krypterad i klientens lager, så det är meningslöst att redigera den för hand. Att radera tunneln går snabbare och lämnar ingenting kvar.

Gå igenom det i ordning: bekräfta portalinställningen med brandväggens ägare, bevisa källan med en tillåtande profil, håll register- eller plist-ändringar inom ett laboratorium och vet vilken fil som håller hemligheten så att du kan ta bort den. En saknad kryssruta på en portal som tillåter lagring är ett slutpunktsproblem, och klientloggarna är nästa ställe att titta på.