Anogwr TOTP OpenConnect ar goll yn NetworkManager: pedair archwiliad

Mae’r porth yn derbyn y cyfrinair, yn gofyn am god, ac nid yw’r ddeialog yn cynnig unrhyw faes ar ei gyfer. Ni chafodd unrhyw beth ei deipio’n anghywir: cwblhaodd ategyn NetworkManager y gyfnewidfa gyfrinachol heb ofyn am y gwerth chwe digid. Ewch drwy’r pedair archwiliad isod yn eu trefn, oherwydd dim ond un ohonynt sy’n newid y cleient. Mae gweddill y rhestr yn diystyru’r porth, y cyfrif a chynllun yr ategyn.

Archwiliad un: darllenwch lle stopiodd y dilysu

Mae cyfrinair anghywir yn methu ar unwaith. Mae ail ffactor ar goll yn methu ar ôl y cam cymwysterau, fel arfer gyda chais ailadroddus neu derfyn amser ar ochr y porth. Mae’r amseru a log y porth yn dweud pa rownd a adawyd heb ateb.

Darllenwch log y cysylltiad cyn cyffwrdd â’r proffil. Os yw’r porth yn adrodd dilysu anghyflawn neu her wedi dod i ben, ni anfonodd y cleient y cod erioed. Os yw’n adrodd cymwysterau annilys, y cyfrinair yw’r broblem ac ni fydd unrhyw osodiad TOTP yn ei thrwsio.

Nodwch y dilyniant cais union y mae’r porth yn ei ddisgwyl: enw defnyddiwr, cyfrinair, yna cod, neu enw defnyddiwr, cod, yna cyfrinair. Mae rhai pyrth yn aildrefnu’r rowndiau, a bydd cleient nad yw’n gwybod ond y dilyniant cyntaf yn methu ar yr ail.

Archwiliad dau: defnyddiwch y cleient sy’n berchen ar yr her

Mae OpenConnect ei hun yn gweithredu’r sgwrs lawn, gan gynnwys y rownd her. Rhedeg ef yn uniongyrchol yw’r ffordd fwyaf rhagweladwy o gadarnhau bod y cyfrif a’r porth yn gweithio:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Mae’r cleient yn gofyn yn y drefn y mae’r porth yn gofyn. Mae’r asiant defnyddiwr yn bwysig oherwydd bod rhai pyrth yn addasu’r llif mewngofnodi i gleient hysbys, a gall llinyn generig gynhyrchu llif byrrach nad yw byth yn gofyn am y cod. Rhedwch ef unwaith yn y blaendir cyn trefnu unrhyw wasanaeth cefndir.

Os yw’r llinell orchymyn yn gofyn yn gywir, mae’r cyfrif, y porth a’r ail ffactor yn iawn. Y broblem sy’n weddill yw deialog yr ategyn, nid y gwasanaeth dilysu. Mae hynny’n ynysu’r gydran fethiant heb gyffwrdd â’r gweinydd. Cadwch allbwn y gorchymyn gyda chofnod yr achos.

Os yw’r llinell orchymyn hefyd yn hepgor y cais, stopiwch a gwirio ffurfweddiad y porth gyda’i berchnogion. Ni all unrhyw gleient penbwrdd ateb her nad yw’r gweinydd byth yn ei hanfon.

Archwiliad tri: gweld a yw eich ategyn yn dangos modd TOTP

Mae rhai cynlluniau NetworkManager OpenConnect yn dangos modd tocynn a maes asiant defnyddiwr yn nhab Identity y cysylltiad. Gosodwch yr asiant defnyddiwr i’r gwerth y mae’r porth yn ei ddisgwyl, dewiswch gofnod TOTP â llaw, ac arbedwch y cysylltiad.

Mae bodolaeth y meysydd hynny’n dibynnu ar fersiwn yr ategyn ac ar ba olygydd cysylltiad y mae’r penbwrdd yn ei ddefnyddio. Gall golygydd annibynnol ddangos opsiynau y mae panel GNOME yn eu cuddio, neu i’r gwrthwyneb. Gwiriwch fersiwn y pecyn sydd wedi’i osod cyn chwilio am osodiad cudd.

Os yw’r modd tocynn yn bresennol ac nad yw’r cais yn dal i ymddangos, mae’r cynllun yn brin o’r trosglwyddiad her rhwng yr ategyn a’r ddeialog gyfrinachol generig. Ni fydd aildeipio’r cyfrinair, ailosod yr un pecyn na chlirio’r cylch allweddi yn creu maes nad yw’r cynllun yn ei weithredu.

Archwiliad pedwar: triniwch god a gynhyrchwyd fel cyfaddawd

Gall sgript alw oathtool am y cod cyfredol a phibellu enw defnyddiwr, cyfrinair a chod i nmcli connection up --ask. Mae’r dilyniant yn gweithio, ond mae’r gyfrinach a rennir yn cael ei storio yn rhywle y gall pwy bynnag sy’n agor y sgript ei darllen, a gall y darllenydd hwnnw fathu codau am byth. Mae hynny’n estyniad parhaol i’r wyneb cymwysterau, nid trwsio cleient.

Dylai unrhyw un sy’n ei ddewis gloi’r ffeil gyfrinachol i root, cadw gwerthoedd a gynhyrchwyd allan o hanes y gragen, a thrin y sgript fel deunydd cymwysterau. Mae troellwr sy’n atseinio’r cod i’r terfynell yn taflu’r ail ffactor i ffwrdd. Profwch y troellwr gyda chyfrif tafladwy yn gyntaf.

Rhaid i’r sgript hefyd ddilyn trefn cais y porth. Os yw’r gweinydd yn gofyn am y cod cyn y cyfrinair, mae dilyniant mewnbwn sefydlog yn anfon y gwerth anghywir i’r cais anghywir ac yn cynhyrchu’r un dilysu anghyflawn. Ymarferwch ef yn erbyn cyfrif prawf cyn ei gysylltu â thasg mewngofnodi.

Cadarnhewch yr un porth a’r un cyfrif

Profwch bob ateb dros dro yn erbyn yr un porth, yr un cyfrif a’r un grŵp twnnel. Gall porth sydd hefyd yn gofyn am dystysgrif dyfais wrthod y cleient llinell orchymyn am reswm sy’n ddi-gyswllt â TOTP, a gall trefn y cais fod yn wahanol i’r un a ymarferwyd.

Cofnodwch y cleient, ei fersiwn, yr asiant defnyddiwr a’r dilyniant cais a weithiodd. Mae’r cofnod hwnnw’n dweud wrth y person nesaf ai’r cynllun ategyn, llif y porth neu bolisi’r cyfrif sy’n achosi’r broblem, heb rownd arall o ailosod cyfrineiriau.

Gorffennwch drwy ailgysylltu unwaith ar ôl allgofnodi’n llwyr. Gall cyfrinach wedi’i chacheu wneud llif wedi torri i edrych fel pe bai wedi’i drwsio tan y sesiwn nesaf, a dyna lle mae’r cais coll yn dychwelyd fel arfer.