OpenConnect-də TOTP sorğusu NetworkManager-də yoxdur: dörd yoxlama

Şlüz parolu qəbul edir, kod istəyir, amma dialoq bunun üçün heç bir sahə təklif etmir. Heç nə səhv yazılmayıb: NetworkManager plaqini altı rəqəmli dəyəri istəmədən gizli məlumat mübadiləsini tamamlayıb. Aşağıdakı dörd yoxlamanı ardıcıllıqla keçin, çünki onlardan yalnız biri klienti dəyişir. Siyahının qalanı şlüzü, hesabı və plaqin quruluşunu istisna edir.

Birinci yoxlama: autentifikasiyanın harada dayandığını oxuyun

Yanlış parol dərhal uğursuz olur. Çatışmayan ikinci amil etimad mərhələsindən sonra, adətən təkrar sorğu və ya şlüz tərəfində vaxt aşımı ilə uğursuz olur. Vaxt və şlüz jurnalı hansı raundun cavabsız qaldığını göstərir.

Profilə toxunmazdan əvvəl bağlantı jurnalını oxuyun. Şlüz natamam autentifikasiya və ya vaxtı keçmiş çağırış bildirirsə, klient kodu heç vaxt göndərməyib. Əgər etibarsız etimad məlumatları bildirirsə, problem paroldadır və heç bir TOTP parametri bunu düzəltməyəcək.

Şlüzün gözlədiyi dəqiq sorğu ardıcıllığını qeyd edin: istifadəçi adı, parol, sonra kod, ya da istifadəçi adı, kod, sonra parol. Bəzi şlüzlər raundların sırasını dəyişir və yalnız birinci ardıcıllığı bilən klient ikincidə dayanır.

İkinci yoxlama: çağırışa sahib klientdən istifadə edin

OpenConnect özü çağırış raundu daxil olmaqla bütün söhbəti həyata keçirir. Onu birbaşa işə salmaq hesabın və şlüzün işlədiyini təsdiqləməyin ən proqnozlaşdırıla bilən yoludur:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Klient şlüzün istədiyi ardıcıllıqla sorğu verir. İstifadəçi agenti vacibdir, çünki bəzi şlüzlər giriş axınını tanınmış klientə uyğunlaşdırır və ümumi sətir kodu heç vaxt istəməyən daha qısa axın yarada bilər. Hər hansı fon xidməti təşkil etməzdən əvvəl onu bir dəfə ön planda işə salın.

Əmr sətri düzgün sorğu versə, hesab, şlüz və ikinci amil qaydasındadır. Qalan problem plaqinin dialoqudur, autentifikasiya xidməti deyil. Bu, serverə toxunmadan nasaz komponenti təcrid edir. Əmr çıxışını hadisə qeydi ilə birlikdə saxlayın.

Əmr sətri də sorğunu atlasa, dayanın və şlüz konfiqurasiyasını onun sahibi ilə yoxlayın. Heç bir masaüstü klient serverin heç vaxt göndərmədiyi çağırışa cavab verə bilməz.

Üçüncü yoxlama: plaqininizin TOTP rejimi təqdim edib-etmədiyinə baxın

Bəzi NetworkManager OpenConnect quruluşları bağlantının Identity nişanında token rejimi və istifadəçi agenti sahəsi təqdim edir. İstifadəçi agentini şlüzün gözlədiyi dəyərə qoyun, əl ilə TOTP daxiletməsini seçin və bağlantını yadda saxlayın.

Bu sahələrin olub-olmaması plaqin versiyasından və masaüstünün hansı bağlantı redaktorundan istifadə etdiyindən asılıdır. Müstəqil redaktor GNOME panelinin gizlətdiyi seçimləri göstərə bilər və ya əksinə. Gizli parametri axtarmazdan əvvəl quraşdırılmış paketin versiyasını yoxlayın.

Token rejimi varsa və sorğu hələ də görünmürsə, quruluşda plaqinlə ümumi gizli dialoq arasında çağırış ötürülməsi yoxdur. Parolu yenidən yazmaq, eyni paketi yenidən quraşdırmaq və ya açar halqasını təmizləmək quruluşun həyata keçirmədiyi sahəni yaratmayacaq.

Dördüncü yoxlama: yaradılmış kodu güzəşt kimi qiymətləndirin

Skript cari kod üçün oathtool çağıra və istifadəçi adını, parolu və kodu nmcli connection up --ask əmrinə ötürə bilər. Ardıcıllıq işləyir, amma ortaq sirr skripti aça bilən hər kəsin oxuya bildiyi yerdə saxlanılır və o oxucu sonsuza qədər kod yarada bilər. Bu, etimad səthinin daimi genişlənməsidir, klient düzəlişi deyil.

Bunu seçən hər kəs sirr faylını root ilə məhdudlaşdırmalı, yaradılan dəyərləri qabıq tarixçəsindən kənarda saxlamalı və skriptə etimad materialı kimi baxmalıdır. Kodu terminala yazan sarğı ikinci amili atır. Sarğı əvvəlcə birdəfəlik hesabla sınayın.

Skript həm də şlüzün sorğu ardıcıllığına uymalıdır. Əgər server kodu paroldan əvvəl istəyirsə, sabit daxiletmə ardıcıllığı yanlış dəyəri yanlış sorğuya göndərir və eyni natamam autentifikasiyanı yaradır. Giriş işinə qoşmazdan əvvəl onu test hesabı ilə məşq edin.

Eyni şlüz və hesabı təsdiqləyin

Hər bir keçici həlli eyni şlüz, eyni hesab və eyni tunel qrupu ilə sınayın. Cihaz sertifikatı da tələb edən şlüz əmr sətri klientini TOTP ilə əlaqəsi olmayan səbəblə rədd edə bilər və sorğu ardıcıllığı məşq etdiyinizdən fərqli ola bilər.

İşləyən klienti, onun versiyasını, istifadəçi agentini və sorğu ardıcıllığını qeyd edin. Bu qeyd növbəti şəxsə problemin plaqin quruluşunda, şlüz axınında və ya hesab siyasətində olduğunu yeni parol sıfırlama raundu olmadan bildirir.

Tam çıxışdan sonra bir dəfə yenidən qoşularaq bitirin. Keşlənmiş sirr pozulmuş axını növbəti sessiyaya qədər düzəldilmiş kimi göstərə bilər və itkin sorğu adətən ikinci qoşulmada qayıdır.