Thiếu ô Lưu mật khẩu trong FortiClient? Cổng kết nối quyết định

Bạn hoàn tất cài đặt FortiClient, kết nối tới SSL VPN của văn phòng và tìm một điều khiển lưu mật khẩu mà đơn giản là không có. Cài lại ứng dụng khách không mang nó trở lại, và xóa đường hầm rồi thêm lại cũng vậy. Trong một hồ sơ SSL VPN, tường lửa quyết định ứng dụng khách có được lưu thông tin xác thực hay không. Vì thế, ô kiểm bị thiếu thường có nghĩa là một chính sách đến từ cổng kết nối, chứ không phải trình cài đặt đã hỏng.

Sự khác biệt đó quan trọng trước khi bạn bắt đầu sửa tệp: một trong hai con đường này là cuộc trao đổi với người quản lý tường lửa, con đường kia là việc trong phòng thí nghiệm và sẽ bị ghi đè.

Kiểm tra cổng thông tin trước khi chạm vào thiết bị đầu cuối

Đề nghị người vận hành FortiGate mở cổng thông tin SSL VPN mà đường hầm của bạn trỏ tới và đọc thiết lập lưu mật khẩu của nó. Khi tùy chọn bị tắt, FortiClient được kỳ vọng sẽ ẩn điều khiển đó và từ chối lưu thông tin xác thực. Thiết bị đầu cuối đang tuân theo quy tắc chứ không phải bị lỗi.

Một thử nghiệm nhanh tách chính sách khỏi hồ sơ hỏng: đăng nhập vào một cổng thông tin vẫn cho phép lưu, rồi quay lại cổng của bạn. Nếu điều khiển xuất hiện trên cổng cho phép và biến mất trên cổng bị khóa, hãy dừng ở đây và đề nghị thay đổi phía cổng kết nối. Mọi thứ bên dưới là việc tại hiện trường cho một bên thuê phòng thí nghiệm hoặc hồ sơ thử nghiệm, và không điều nào trong đó vượt qua quyết định của máy chủ. Việc làm mới hồ sơ hoặc nâng cấp ứng dụng khách sẽ ghi đè chỉnh sửa cục bộ.

Windows giữ cờ bên trong khóa của đường hầm

Các đường hầm đã lưu sống dưới người dùng hiện tại, một khóa cho mỗi kết nối, và cờ hiển thị nằm cạnh chi tiết kết nối:

HKEY_CURRENT_USER\SOFTWARE\Fortinet\FortiClient\Sslvpn\Tunnels<tunnel name>
show_remember_password = 1

Đặt giá trị thành 1, thoát ứng dụng khách từ khay hệ thống thay vì đóng cửa sổ của nó, rồi mở lại. Trong các bản dựng 5.x, cùng cờ đó có thể nằm dưới nhánh Wow6432Node của HKEY_LOCAL_MACHINE, nên hãy xem ở đó khi thiếu khóa theo người dùng. Một số bản dựng 6.x ghi đè giá trị sau khi kết nối thành công, điều này giải thích một ô kiểm tồn tại qua một lần đăng nhập rồi biến mất ở lần sau. Nếu khóa của bạn hoàn toàn không có giá trị như vậy, hãy tạo nó dưới dạng chuỗi thay vì đoán tên khác.

Hãy coi sổ đăng ký là một bước gỡ lỗi. Trạng thái sống của sổ đăng ký là vô hình với người quản trị kế tiếp, và không bản làm mới kiểm kê nào giữ được nó.

Trên macOS, hãy theo dõi ứng dụng khách để tìm tệp của nó

Ứng dụng khách macOS giữ thiết lập theo kết nối dưới /Library/Application Support/Fortinet/FortiClient/conf, trong một từ điển cho mỗi đường hầm. Khóa cần đặt là AllowSavePassword, và nó phải đọc là 1 trong khi các khóa tự động kết nối trong cùng từ điển vẫn nguyên vẹn. Khởi động lại ứng dụng khách khi bạn xong.

Đoán đúng tệp chỉ làm mất thời gian trên một bản dựng xa lạ. Chạy opensnoop trong khi bạn thêm đường hầm, rồi đọc các đường dẫn mà ứng dụng khách đã chạm tới; tệp nó ghi chính là tệp mang cờ. Sửa tệp đó khi ứng dụng khách đã đóng và công việc hoàn tất. Năm phút theo dõi luôn thắng một lần tìm kiếm khắp hệ thống tệp.

Ưu tiên chu trình xuất, sửa và khôi phục

Các ứng dụng khách mới hơn cho phép bạn đưa toàn bộ cấu hình qua một tệp đi rồi về, việc này dễ lặp lại và chuyển cho máy khác hơn là phẫu thuật sổ đăng ký trực tiếp:

• Xuất từ thiết lập của ứng dụng khách, bao gồm thiết lập người dùng, và đặt mật khẩu xuất.
• Mở tệp và đặt show_remember_password thành 1.
• Mở khóa ổ khóa trong ứng dụng khách; Khôi phục không làm gì khi nó còn khóa.
• Khôi phục tệp đã sửa và cung cấp mật khẩu xuất.

Điều khiển sẽ xuất hiện ở lần đăng nhập kế tiếp. Giữ tệp đã xuất tránh xa thư mục chia sẻ và tệp đính kèm của phiếu hỗ trợ, vì nó mô tả các đường hầm của bạn và có thể mang một bí mật đã mã hóa.

Nếu khôi phục hoạt động nhưng ô lại ẩn đi sau khi kết nối, cổng kết nối đang áp đặt lại chính sách ở mỗi lần đăng nhập và không tệp cục bộ nào giữ được thiết lập lâu.

Xóa bí mật trước khi nó thành khóa tài khoản

Ứng dụng khách dòng lệnh của Linux không có ô kiểm nào, nên một lớp bọc nạp mật khẩu vào stdin là câu trả lời thường gặp và nó không lưu gì. Trên mọi nền tảng, cách gỡ bỏ đáng tin cậy là đưa kết nối trở lại hỏi khi đăng nhập hoặc xóa hẳn đường hầm.

Thông tin xác thực đã lưu sống lâu hơn lần đổi mật khẩu làm nó mất hiệu lực, và những thất bại kéo theo trông như sự cố VPN: bị từ chối, thử lại, rồi khóa tài khoản. Xóa giá trị đã lưu trước khi đổi mật khẩu, và rà danh sách đường hầm tìm mục cũ vẫn còn mang một giá trị. Bí mật nằm mã hóa trong kho của ứng dụng khách, nên sửa bằng tay là vô nghĩa. Xóa đường hầm nhanh hơn và không để lại gì.

Hãy làm theo thứ tự: xác nhận thiết lập cổng thông tin với người quản lý tường lửa, chứng minh nguồn bằng một hồ sơ cho phép, giữ các chỉnh sửa sổ đăng ký hoặc plist trong phòng thí nghiệm, và biết tệp nào giữ bí mật để bạn có thể gỡ nó. Một ô kiểm thiếu trên cổng thông tin cho phép lưu là vấn đề của thiết bị đầu cuối, và nhật ký ứng dụng khách là nơi tiếp theo cần xem.