ไม่เห็นช่องบันทึกรหัสผ่านใน FortiClient? เกตเวย์เป็นผู้ตัดสิน

คุณติดตั้ง FortiClient เสร็จ เชื่อมต่อกับ SSL VPN ของออฟฟิศ แล้วมองหาตัวควบคุมบันทึกรหัสผ่านที่ไม่ปรากฏอยู่เลย การติดตั้งไคลเอนต์ใหม่ก็ไม่ทำให้กลับมา และการลบอุโมงค์แล้วเพิ่มใหม่ก็ไม่ช่วยเช่นกัน ในโปรไฟล์ SSL VPN ไฟร์วอลล์เป็นผู้ตัดสินว่าไคลเอนต์จะเก็บข้อมูลรับรองได้หรือไม่ ดังนั้นช่องทำเครื่องหมายที่หายไปมักหมายความว่านโยบายมาจากเกตเวย์ ไม่ใช่ตัวติดตั้งล้มเหลว

ความต่างนี้สำคัญก่อนที่คุณจะเริ่มแก้ไฟล์: ทางหนึ่งคือการคุยกับเจ้าของไฟร์วอลล์ อีกทางคือการทำงานในแล็บที่จะถูกเขียนทับ

ตรวจสอบพอร์ทัลก่อนแตะอุปกรณ์ปลายทาง

ขอให้ผู้ดูแล FortiGate เปิดพอร์ทัล SSL VPN ที่อุโมงค์ของคุณชี้ไป และอ่านการตั้งค่าการบันทึกรหัสผ่าน เมื่อตัวเลือกถูกปิดใช้งาน FortiClient ควรซ่อนตัวควบคุมและปฏิเสธการเก็บข้อมูลรับรอง อุปกรณ์ปลายทางกำลังทำตามกฎ ไม่ได้เสีย

การทดสอบเร็วๆ ครั้งเดียวแยกนโยบายออกจากโปรไฟล์ที่เสีย: ลงชื่อเข้าใช้พอร์ทัลที่ยังอนุญาตให้บันทึก แล้วกลับมาที่พอร์ทัลของคุณ หากตัวควบคุมปรากฏบนพอร์ทัลที่อนุญาตและหายไปบนพอร์ทัลที่ถูกล็อก ให้หยุดตรงนี้และขอให้เปลี่ยนที่เกตเวย์ ทุกอย่างด้านล่างคืองานภาคสนามสำหรับผู้เช่าแล็บหรือโปรไฟล์ทดสอบ และไม่มีสิ่งใดเหนือกว่าการตัดสินของเซิร์ฟเวอร์ การรีเฟรชโปรไฟล์หรือการอัปเกรดไคลเอนต์จะเขียนทับการแก้ไขในเครื่อง

Windows เก็บแฟล็กไว้ในคีย์ของอุโมงค์

อุโมงค์ที่บันทึกไว้อยู่ภายใต้ผู้ใช้ปัจจุบัน หนึ่งคีย์ต่อการเชื่อมต่อ และแฟล็กการมองเห็นอยู่ข้างรายละเอียดการเชื่อมต่อ:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

ตั้งค่าเป็น 1 ออกจากไคลเอนต์ทางถาดระบบแทนการปิดหน้าต่าง แล้วเปิดใหม่ ในบิลด์ 5.x แฟล็กเดียวกันอาจอยู่ใต้สาขา Wow6432Node ของ HKEY_LOCAL_MACHINE ดังนั้นให้ดูที่นั่นเมื่อไม่มีคีย์ต่อผู้ใช้ บิลด์ 6.x บางตัวเขียนค่าทับหลังเชื่อมต่อสำเร็จ ซึ่งอธิบายช่องที่อยู่รอดได้หนึ่งครั้งแล้วหายไปในครั้งถัดไป หากคีย์ของคุณไม่มีค่าดังกล่าวเลย ให้สร้างเป็นสตริงแทนการเดาชื่ออื่น

มองรีจิสทรีเป็นขั้นตอนดีบัก สถานะรีจิสทรีที่ใช้งานอยู่มองไม่เห็นสำหรับผู้ดูแลคนถัดไป และไม่มีการรีเฟรชสินค้าคงคลังใดจะรักษาไว้ได้

บน macOS ให้ติดตามไคลเอนต์เพื่อหาไฟล์ของมัน

ไคลเอนต์ macOS เก็บการตั้งค่าต่อการเชื่อมต่อไว้ใต้ /Library/Application Support/Fortinet/FortiClient/conf ในพจนานุกรมสำหรับแต่ละอุโมงค์ คีย์ที่ต้องตั้งคือ AllowSavePassword และต้องอ่านเป็น 1 ขณะที่คีย์เชื่อมต่ออัตโนมัติในพจนานุกรมเดียวกันยังคงสมบูรณ์ รีสตาร์ทไคลเอนต์เมื่อเสร็จ

การเดาไฟล์ที่ถูกต้องทำให้เสียเวลากับบิลด์ที่ไม่คุ้นเคย รัน opensnoop ขณะเพิ่มอุโมงค์ แล้วอ่านพาธที่ไคลเอนต์แตะ ไฟล์ที่มันเขียนคือไฟล์ที่ถือแฟล็ก แก้ไฟล์นั้นขณะปิดไคลเอนต์แล้วงานก็จบ การติดตามห้านาทีชนะการค้นทั้งระบบไฟล์ทุกครั้ง

เลือกวงจรส่งออก แก้ไข และคืนค่า

ไคลเอนต์รุ่นใหม่ให้คุณส่งการกำหนดค่าทั้งหมดผ่านไฟล์ไปกลับได้ ซึ่งทำซ้ำและส่งต่อให้เครื่องอื่นได้ง่ายกว่าการผ่าตัดรีจิสทรีสดๆ:

• ส่งออกจากการตั้งค่าไคลเอนต์ รวมการตั้งค่าผู้ใช้ และตั้งรหัสผ่านสำหรับการส่งออก
• เปิดไฟล์และตั้ง show_remember_password เป็น 1
• ปลดล็อกกุญแจในไคลเอนต์ การคืนค่าจะไม่ทำอะไรขณะล็อกอยู่
• คืนค่าไฟล์ที่แก้ไขแล้วและใส่รหัสผ่านการส่งออก

ตัวควบคุมควรปรากฏในการลงชื่อเข้าใช้ครั้งถัดไป เก็บไฟล์ที่ส่งออกให้ห่างจากโฟลเดอร์ที่แชร์และไฟล์แนบของตั๋ว เพราะมันอธิบายอุโมงค์ของคุณและอาจมีความลับที่เข้ารหัสอยู่

หากการคืนค่าทำงานแต่ช่องซ่อนอีกครั้งหลังเชื่อมต่อ แสดงว่าเกตเวย์บังคับนโยบายซ้ำทุกครั้งที่ลงชื่อเข้าใช้ และไม่มีไฟล์ในเครื่องใดจะเก็บการตั้งค่าไว้ได้นาน

ลบความลับก่อนที่มันจะกลายเป็นการล็อกบัญชี

ไคลเอนต์บรรทัดคำสั่งของ Linux ไม่มีช่องทำเครื่องหมายเลย ดังนั้นตัวห่อที่ป้อนรหัสผ่านทาง stdin คือคำตอบปกติและไม่เก็บอะไรเลย บนทุกแพลตฟอร์ม การลบที่เชื่อถือได้คือเปลี่ยนการเชื่อมต่อกลับไปถามตอนลงชื่อเข้าใช้ หรือลบอุโมงค์ทิ้งทั้งหมด

ข้อมูลรับรองที่บันทึกไว้มีอายุยืนกว่าการเปลี่ยนรหัสผ่านที่ทำให้มันใช้ไม่ได้ และความล้มเหลวที่ตามมาดูเหมือน VPN ขัดข้อง: ถูกปฏิเสธ ลองใหม่ แล้วก็ถูกล็อกบัญชี ล้างค่าที่บันทึกไว้ก่อนหมุนรหัสผ่าน และไล่ดูรายการอุโมงค์หารายการเก่าที่ยังมีอยู่ ความลับถูกเข้ารหัสไว้ในที่เก็บของไคลเอนต์ การแก้ด้วยมือจึงไร้ประโยชน์ การลบอุโมงค์เร็วกว่าและไม่เหลืออะไรไว้

ทำตามลำดับ: ยืนยันการตั้งค่าพอร์ทัลกับเจ้าของไฟร์วอลล์ พิสูจน์แหล่งที่มาด้วยโปรไฟล์ที่อนุญาต เก็บการแก้รีจิสทรีหรือ plist ไว้ในแล็บ และรู้ว่าไฟล์ใดเก็บความลับเพื่อที่คุณจะลบมันได้ ช่องทำเครื่องหมายที่หายไปบนพอร์ทัลที่อนุญาตให้บันทึกคือปัญหาของอุปกรณ์ปลายทาง และล็อกของไคลเอนต์คือที่ถัดไปที่ควรดู