FortiClient VPN hatası: yüzde göstergesi yerine sertifika ve yetki kanıtı

VPN istemcisindeki hata kodu veya yüzde göstergesi inceleme için ipucu verir; tek başına kesin kök neden değildir. Aynı görünen bağlantı hatası sertifika, kimlik kaynağı, grup eşleşmesi veya ağ yolundan kaynaklanabilir. Doğru yöntem istemci denemesini ağ geçidindeki olayla eşleştirmektir.

1. Tam hatayı kaydet
2. Sürümü doğrula
3. TLS’i sınayın
4. Kimlik kaydını eşleştir
5. Grup ve politikayı incele
6. Temiz oturumla dene

Tam hata metnini ve sürümü kaydedin

Yalnızca “-5 veriyor” demek yerine tam mesaj, istemci sürümü, işletim sistemi ve deneme zamanı kaydedilir. Aynı kod farklı bağlamlarda farklı inceleme gerektirebilir. Önce sorunun tek kullanıcıda mı bütün kullanıcı grubunda mı olduğunu belirleyin.

Eski bir notta TLS sürümünü değiştirerek çözülmüş bir hata, bugün aynı müdahaleyi gerektirmez. Desteklenen istemci ve sunucu eşleşmesi doğrulanmadan protokol zayıflatmayın.

Sunucu ve istemci sertifikasını ayırın

Sunucu sertifikası bağlantı yapılan ağ geçidini doğrular. İstemci sertifikası isteniyorsa kullanıcının uygun sertifikası, özel anahtarı ve anahtara erişim izni bulunmalıdır. Sertifika listede görünse bile özel anahtar kullanılamıyor olabilir.

Ad uyuşmazlığı, süre, zincir ve iptal kontrolü ayrı incelenir. Sertifika uyarısını kalıcı olarak kabul etmek tanılama sonucunun yerini tutmaz. Özel anahtar veya PFX parolası destek kaydına eklenmemelidir.

Kimlik kaynağındaki sonucu karşılaştırın

Yerel kullanıcı, LDAP, RADIUS veya SAML farklı kayıtlar üretir. Parolanın doğru olması grup üyeliği, hesap durumu veya MFA sonucunun doğru olduğu anlamına gelmez. Aynı zaman aralığında hem ağ geçidi hem kimlik sağlayıcı olayı incelenir.

Başarısız denemeleri çok hızlı tekrarlamak hesap kilidi veya oran sınırlamasını tetikleyebilir. Test sayısını ve zamanını kontrollü tutun. Kullanıcıya geçici geniş yetki vermek yerine hangi yetki kontrolünün reddettiğini bulun.

Portal ve politika eşleşmesini doğrulayın

Eski SSL VPN kurulumlarında portal ve grup eşleşmeleri; güncel IPsec tasarımında ilgili kullanıcı politikası ve adres ataması kontrol edilir. Tünelin kurulabilmesi için gereken kural ile uygulamaya erişim kuralı ayrı olabilir.

Bir kullanıcının çalışıp diğerinin çalışmaması ağın tamamen doğru olduğunu kanıtlamaz; kullanıcılar farklı gruplara veya adres havuzlarına atanabilir. Başarılı örnekle farkları karşılaştırın, bütün yapılandırmayı kopyalamayın.

Düzeltmeyi yeni bağlantıyla kabul edin

Önbellek veya mevcut oturum etkisini ayırmak için kontrollü yeni bağlantı kurun. Tünel sonrası DNS, hedef port ve uygulama işlemini de test edin. Sorun yalnızca belirli ağdan oluşuyorsa ara proxy, NAT ve TLS incelemesi ayrıca değerlendirilir.

• Hata mesajı ve zaman kesin.
• Sertifika ve anahtar erişimi doğru.
• Kimlik ve MFA sonucu eşleşiyor.
• Grup ve hedef politika uygun.
• Eski TLS’i açmadan doğrulama tamamlandı.

İlgili çalışma notları

• Uzaktan VPN tasarımı: MFA, dar erişim ve SSL VPN’den IPsec’e geçiş
• VPN ve syslog kayıtları: IPsec üzerinden doğru kaynak kimliğiyle toplamak
• IPsec VPN açık ama trafik geçmiyor: adım adım inceleme