Tại sao đăng nhập openfortivpn thất bại khi bạn dán URL của cổng thông tin

Lỗi trông giống như vấn đề thông tin đăng nhập: openfortivpn hỏi mật khẩu, gửi nó đi, và gateway trả lời bằng sự từ chối hoặc chuyển hướng về trang đăng nhập. Người dùng sau đó gõ lại mật khẩu, thử tên tài khoản có kèm tên miền, và cuối cùng dán URL cổng thông tin từ trình duyệt vào trường host. Chính thao tác cuối cùng đó biến một lỗi cấu hình nhỏ thành lỗi khó hiểu.

Một địa chỉ cổng Fortinet như https://vpn.example.com/ext mang nhiều mẩu thông tin cùng lúc, và chỉ một số trong đó thuộc về ứng dụng khách VPN.

Điểm cuối và realm là hai đầu vào riêng biệt

openfortivpn mong đợi một điểm cuối ở dạng host hoặc host:port, cùng với một tài khoản và, khi bản triển khai dùng một giá trị như vậy, một giá trị realm. Realm cho gateway biết chính sách xác thực nào sẽ được áp dụng trước khi đánh giá tài khoản. Đây là một trường riêng, không phải hậu tố mà ứng dụng khách tách ra từ URL.

Với một bản triển khai mà người vận hành xác nhận realm là ext, một lời gọi không bí mật trông như thế này: openfortivpn vpn.example.com:443 --username=alice --realm=ext. Các giá trị tương tự nằm trong tệp cấu hình dưới dạng mục host, port, username và realm. Hãy để mật khẩu ngoài cả hai dạng và để ứng dụng khách hỏi, để nó không rơi vào lịch sử shell hay một tệp mà ai cũng đọc được. Lần thử thứ hai trong khi ứng dụng khách đầu tiên vẫn giữ đường hầm sẽ thất bại vì lý do không liên quan gì đến realm.

hướng dẫn openfortivpn liệt kê cả hai tùy chọn, nên rất dễ xác nhận cách viết chính xác trước khi gọi hỗ trợ. Tuy nhiên nó không thể cho bạn biết realm nào được cấu hình trên gateway của bạn.

Một đoạn đường dẫn không tự động là realm

URL cổng thông tin tập hợp đủ thứ sau tên máy chủ: ứng dụng đăng nhập, bộ chọn ngôn ngữ, đích chuyển hướng, mã định danh phiên. Cắt bỏ đoạn đường dẫn cuối và gọi nó là realm hoạt động đủ thường xuyên để trở nên nguy hiểm. Hãy hỏi người vận hành giá trị đã cấu hình, hoặc đọc nó từ hồ sơ mà tổ chức của bạn phân phối.

Realm cũng không phải là hậu tố tên miền trên tên người dùng hay khu vực nơi gateway đặt. Một số bản triển khai muốn alice, số khác muốn alice@corp, và realm quyết định cái nào gateway sẽ chấp nhận. Thay đổi định dạng tài khoản để bù cho realm sai thường tạo ra lần từ chối thứ hai, ít thông tin hơn.

Đừng sửa lỗi realm bằng cách đổi host

Thay tên máy chủ bằng địa chỉ IP có cảm giác như bỏ đi một lớp, và nó phá nhiều hơn là sửa. Kiểm tra tên TLS so sánh chứng chỉ với tên mà ứng dụng khách đã dùng, và địa chỉ IP hiếm khi xuất hiện trong tên chủ thể thay thế của chứng chỉ. Chỉ báo tên máy chủ thay đổi theo địa chỉ, nên một gateway lưu trữ nhiều cổng thông tin trên một địa chỉ có thể trả lời sai. Giữ nguyên tên máy chủ và cấu hình tin cậy trong khi bạn sửa tham số xác thực.

Nếu chứng chỉ không được tin cậy trong môi trường của bạn, hãy sửa kho tin cậy hoặc ghim chứng chỉ mong đợi một cách có chủ đích. Tắt kiểm tra để vượt qua lỗi realm là đánh đổi vấn đề đăng nhập lấy rủi ro bị chặn nghe lén âm thầm.

Tách một lần đăng nhập bị từ chối khỏi một đường hầm thất bại

Lỗi xác thực và lỗi đường hầm đến vào những thời điểm khác nhau, và thông báo cũng khác. Lỗi phân giải tên xảy ra trước mọi bắt tay TLS. Từ chối TLS xảy ra trước khi thông tin đăng nhập được gửi. Từ chối realm hoặc tài khoản quay về dưới dạng phản hồi ở mức HTTP từ cổng thông tin. Chỉ sau các giai đoạn đó quá trình thương lượng PPP mới bắt đầu, và chỉ khi đó các vấn đề định tuyến và DNS mới xuất hiện.

Một realm đúng không tạo ra tuyến đường bị thiếu và không làm cho một phương thức đăng nhập không được hỗ trợ hoạt động. Nếu cổng thông tin khăng khăng dùng luồng dựa trên trình duyệt, hãy dùng đường dẫn mà ứng dụng khách hỗ trợ cho luồng đó thay vì lặp lại việc trao đổi mật khẩu và hy vọng phiên khớp.

Hãy giữ các giá trị ở nơi lần khởi chạy tiếp theo sẽ tìm thấy

Khi một kết nối thành công, hãy ghi gateway, cổng, tài khoản và realm vào hồ sơ được quản lý thay vì một bí danh shell. Các hồ sơ được lưu trong kho lưu trữ hoặc hệ thống quản lý cấu hình ngăn lần khởi chạy tiếp theo âm thầm lấy realm của hồ sơ khác.

Kiểm tra lại một kết nối từ đầu đến cuối và xác nhận cả chính sách đã áp dụng lẫn quyền truy cập vào tài nguyên bạn thực sự cần. Xác thực thành công là khởi đầu của lần kiểm tra đó, không phải kết thúc.