У FortiClient немає поля для збереження пароля? Вирішує шлюз

Ви завершуєте встановлення FortiClient, підключаєтеся до офісного SSL VPN і шукаєте елемент для збереження пароля, якого просто немає. Перевстановлення клієнта його не повертає, і видалення тунелю з повторним додаванням теж не допомагає. У профілі SSL VPN міжмережевий екран вирішує, чи може клієнт узагалі зберігати облікові дані. Тому відсутній прапорець зазвичай означає, що політика надійшла зі шлюзу, а не що інсталятор не спрацював.

Ця різниця важлива до того, як ви почнете правити файли: один із цих шляхів — розмова з власником міжмережевого екрана, а інший — лабораторна робота, яку буде перезаписано.

Перевірте портал, перш ніж торкатися кінцевого пристрою

Попросіть того, хто адмініструє FortiGate, відкрити портал SSL VPN, на який указує ваш тунель, і прочитати його налаштування збереження пароля. Коли параметр вимкнено, від FortiClient очікується, що він приховає елемент і відмовиться зберігати облікові дані. Кінцевий пристрій підкоряється правилу, а не зламаний.

Один швидкий тест відокремлює політику від зламаного профілю: увійдіть на портал, який ще дозволяє збереження, а потім поверніться на свій. Якщо елемент з'являється на дозвільному порталі й зникає на закритому, зупиніться тут і попросіть змінити налаштування на шлюзі. Усе нижче — польова робота для лабораторного орендаря або тестового профілю, і ніщо з цього не важливіше за рішення сервера. Оновлення профілю або клієнта перезапише локальну правку.

Windows зберігає прапорець усередині ключа тунелю

Збережені тунелі живуть під поточним користувачем, один ключ на підключення, а прапорець видимості стоїть поряд із параметрами підключення:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Установіть значення 1, вийдіть із клієнта через системний трей, а не закриваючи його вікно, і відкрийте його знову. У збірках 5.x той самий прапорець міг бути під гілкою Wow6432Node ключа HKEY_LOCAL_MACHINE, тому дивіться там, коли ключа користувача немає. Деякі збірки 6.x перезаписують значення після успішного підключення, що пояснює прапорець, який переживає один вхід і зникає наступного. Якщо у вашому ключі такого значення зовсім немає, створіть його як рядок, а не вгадуйте інші назви.

Ставтеся до реєстру як до кроку налагодження. Живий стан реєстру невидимий наступному адміністратору, і жодне оновлення інвентаризації його не збереже.

У macOS простежте за клієнтом, щоб знайти його файл

Клієнт macOS зберігає налаштування підключення в /Library/Application Support/Fortinet/FortiClient/conf, у словнику для кожного тунелю. Ключ, який треба встановити, — AllowSavePassword, і він має читатися як 1, поки ключі автопідключення в тому самому словнику залишаються недоторканими. Перезапустіть клієнт, коли завершите.

Угадування точного файлу марнує час на незнайомій збірці. Запустіть opensnoop, поки додаєте тунель, а потім прочитайте шляхи, яких торкнувся клієнт; файл, який він записав, і є носієм прапорця. Відредагуйте цей файл із закритим клієнтом, і робота завершена. П'ять хвилин трасування щоразу перемагають пошук по всій файловій системі.

Віддайте перевагу циклу експорту, правки та відновлення

Новіші клієнти дозволяють пройти всю конфігурацію через файл туди й назад, що легше повторити й передати на іншу машину, ніж живу хірургію реєстру:

• Експортуйте з налаштувань клієнта, включіть користувацькі налаштування та задайте пароль експорту.
• Відкрийте файл і встановіть show_remember_password у 1.
• Розблокуйте замок у клієнті; Відновлення нічого не робить, поки він заблокований.
• Відновіть відредагований файл і введіть пароль експорту.

Елемент має з'явитися під час наступного входу. Тримайте експортований файл подалі від спільних тек і вкладень заявок, бо він описує ваші тунелі й може містити зашифрований секрет.

Якщо відновлення працює, але прапорець знову ховається після підключення, шлюз заново нав'язує політику під час кожного входу, і жоден локальний файл не втримає налаштування надовго.

Видаліть секрет, перш ніж він перетвориться на блокування облікового запису

У клієнта командного рядка Linux немає жодного прапорця, тому обгортка, що подає пароль на stdin, — звична відповідь, і вона нічого не зберігає. На будь-якій платформі надійне видалення — повернути підключення до запиту під час входу або видалити тунель повністю.

Збережені облікові дані переживають зміну пароля, яка їх знецінює, і наступні збої виглядають як аварія VPN: відмови, повторні спроби, далі блокування облікового запису. Видаліть збережене значення до зміни пароля й перегляньте список тунелів на застарілі записи, які ще його містять. Секрет лежить у сховищі клієнта зашифрованим, тому правити його вручну безглуздо. Видалити тунель швидше, і нічого не залишається.

Пройдіть по порядку: підтвердьте налаштування порталу з власником міжмережевого екрана, доведіть джерело дозвільним профілем, тримайте правки реєстру або plist усередині лабораторії та знайте, який файл зберігає секрет, щоб ви могли його видалити. Відсутній прапорець на порталі, який дозволяє збереження, — це проблема кінцевого пристрою, і журнали клієнта — наступне місце, куди варто подивитися.