Λείπει το αίτημα TOTP του OpenConnect στο NetworkManager: τέσσερις έλεγχοι

Η πύλη δέχεται τον κωδικό πρόσβασης, ζητά κωδικό και ο διάλογος δεν προσφέρει κανένα πεδίο για αυτόν. Δεν πληκτρολογήθηκε κάτι λάθος: το πρόσθετο του NetworkManager ολοκλήρωσε την ανταλλαγή μυστικού χωρίς να ζητήσει την εξαψήφια τιμή. Περάστε τους τέσσερις ελέγχους παρακάτω με τη σειρά, γιατί μόνο ένας από αυτούς αλλάζει τον πελάτη. Η υπόλοιπη λίστα αποκλείει την πύλη, τον λογαριασμό και την έκδοση του πρόσθετου.

Πρώτος έλεγχος: διαβάστε πού σταμάτησε η πιστοποίηση

Ένας λάθος κωδικός πρόσβασης αποτυγχάνει αμέσως. Ένας δεύτερος παράγοντας που λείπει αποτυγχάνει μετά το βήμα διαπιστευτηρίων, συνήθως με επαναλαμβανόμενο αίτημα ή λήξη χρόνου στην πλευρά της πύλης. Ο χρόνος και το αρχείο καταγραφής της πύλης δείχνουν ποιος γύρος έμεινε αναπάντητος.

Διαβάστε το αρχείο καταγραφής σύνδεσης πριν αγγίξετε το προφίλ. Αν η πύλη αναφέρει ελλιπή πιστοποίηση ή πρόκληση που έληξε, ο πελάτης δεν έστειλε ποτέ τον κωδικό. Αν αναφέρει μη έγκυρα διαπιστευτήρια, το πρόβλημα είναι ο κωδικός πρόσβασης και καμία ρύθμιση TOTP δεν θα το διορθώσει.

Σημειώστε την ακριβή σειρά αιτημάτων που περιμένει η πύλη: όνομα χρήστη, κωδικός πρόσβασης και μετά κωδικός, ή όνομα χρήστη, κωδικός και μετά κωδικός πρόσβασης. Μερικές πύλες αναδιατάσσουν τους γύρους και ένας πελάτης που ξέρει μόνο την πρώτη σειρά θα κολλήσει στη δεύτερη.

Δεύτερος έλεγχος: χρησιμοποιήστε τον πελάτη που κατέχει την πρόκληση

Το ίδιο το OpenConnect υλοποιεί ολόκληρη τη συνομιλία, μαζί με τον γύρο πρόκλησης. Η άμεση εκτέλεσή του είναι ο πιο προβλέψιμος τρόπος να επιβεβαιώσετε ότι ο λογαριασμός και η πύλη λειτουργούν:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Ο πελάτης ρωτά με τη σειρά που ρωτά η πύλη. Το user agent έχει σημασία, γιατί μερικές πύλες προσαρμόζουν τη ροή σύνδεσης σε γνωστό πελάτη, και μια γενική συμβολοσειρά μπορεί να παραγάγει συντομότερη ροή που δεν ζητά ποτέ τον κωδικό. Εκτελέστε το μία φορά στο προσκήνιο πριν οργανώσετε οποιαδήποτε υπηρεσία υποβάθρου.

Αν η γραμμή εντολών ρωτά σωστά, ο λογαριασμός, η πύλη και ο δεύτερος παράγοντας είναι εντάξει. Το υπόλοιπο πρόβλημα είναι ο διάλογος του πρόσθετου, όχι η υπηρεσία πιστοποίησης. Αυτό απομονώνει το ελαττωματικό στοιχείο χωρίς να αγγίξει τον διακομιστή. Κρατήστε την έξοδο της εντολής μαζί με το αρχείο του περιστατικού.

Αν και η γραμμή εντολών παραλείπει το αίτημα, σταματήστε και ελέγξτε τη διαμόρφωση της πύλης με τον υπεύθυνό της. Κανένας πελάτης επιφάνειας εργασίας δεν μπορεί να απαντήσει σε πρόκληση που ο διακομιστής δεν στέλνει ποτέ.

Τρίτος έλεγχος: δείτε αν το πρόσθετό σας εκθέτει λειτουργία TOTP

Μερικές εκδόσεις του NetworkManager OpenConnect εκθέτουν λειτουργία token και πεδίο user agent στην καρτέλα Identity της σύνδεσης. Ορίστε το user agent στην τιμή που περιμένει η πύλη, επιλέξτε χειροκίνητη εισαγωγή TOTP και αποθηκεύστε τη σύνδεση.

Το αν υπάρχουν αυτά τα πεδία εξαρτάται από την έκδοση του πρόσθετου και από το ποιον επεξεργαστή συνδέσεων χρησιμοποιεί η επιφάνεια εργασίας. Ένας αυτόνομος επεξεργαστής μπορεί να δείχνει επιλογές που κρύβει ο πίνακας του GNOME, ή το αντίστροφο. Ελέγξτε την έκδοση του εγκατεστημένου πακέτου πριν αναζητήσετε κρυφή ρύθμιση.

Αν η λειτουργία token υπάρχει και το αίτημα εξακολουθεί να μην εμφανίζεται, η έκδοση στερείται τη μεταβίβαση πρόκλησης μεταξύ του πρόσθετου και του γενικού διαλόγου μυστικών. Η επανάληψη του κωδικού πρόσβασης, η επανεγκατάσταση του ίδιου πακέτου ή ο καθαρισμός της κλειδοθήκης δεν θα δημιουργήσουν πεδίο που η έκδοση δεν υλοποιεί.

Τέταρτος έλεγχος: αντιμετωπίστε έναν παραγόμενο κωδικό ως συμβιβασμό

Ένα σενάριο μπορεί να καλέσει το oathtool για τον τρέχοντα κωδικό και να περάσει όνομα χρήστη, κωδικό πρόσβασης και κωδικό στο nmcli connection up --ask. Η ακολουθία λειτουργεί, αλλά το κοινό μυστικό καταλήγει αποθηκευμένο κάπου αναγνώσιμο από όποιον μπορεί να ανοίξει το σενάριο, και αυτός ο αναγνώστης μπορεί να παράγει κωδικούς για πάντα. Αυτή είναι μόνιμη επέκταση της επιφάνειας διαπιστευτηρίων, όχι διόρθωση πελάτη.

Όποιος το επιλέξει πρέπει να κλειδώσει το αρχείο μυστικού στο root, να κρατήσει τις παραγόμενες τιμές έξω από το ιστορικό του κελύφους και να αντιμετωπίσει το σενάριο ως υλικό διαπιστευτηρίων. Ένα περιτύλιγμα που εκτυπώνει τον κωδικό στο τερματικό πετά τον δεύτερο παράγοντα. Δοκιμάστε πρώτα το περιτύλιγμα με προσωρινό λογαριασμό.

Το σενάριο πρέπει επίσης να ακολουθεί τη σειρά αιτημάτων της πύλης. Αν ο διακομιστής ζητά τον κωδικό πριν από τον κωδικό πρόσβασης, μια σταθερή ακολουθία εισόδου στέλνει τη λάθος τιμή στο λάθος αίτημα και παράγει την ίδια ελλιπή πιστοποίηση. Εξασκηθείτε με δοκιμαστικό λογαριασμό πριν το συνδέσετε σε εργασία σύνδεσης.

Επιβεβαιώστε την ίδια πύλη και τον ίδιο λογαριασμό

Δοκιμάστε κάθε παράκαμψη στην ίδια πύλη, στον ίδιο λογαριασμό και στην ίδια ομάδα σήραγγας. Μια πύλη που απαιτεί και πιστοποιητικό συσκευής μπορεί να απορρίψει τον πελάτη γραμμής εντολών για λόγο άσχετο με το TOTP, και η σειρά αιτημάτων μπορεί να διαφέρει από αυτή που εξασκήσατε.

Καταγράψτε τον πελάτη, την έκδοσή του, το user agent και τη σειρά αιτημάτων που λειτούργησε. Αυτή η καταγραφή λέει στο επόμενο άτομο αν το πρόβλημα είναι η έκδοση του πρόσθετου, η ροή της πύλης ή η πολιτική του λογαριασμού, χωρίς άλλον γύρο επαναφορών κωδικών.

Ολοκληρώστε επανασυνδέοντας μία φορά μετά από πλήρη αποσύνδεση. Ένα μυστικό στην προσωρινή μνήμη μπορεί να κάνει μια χαλασμένη ροή να φαίνεται διορθωμένη μέχρι την επόμενη συνεδρία, και στη δεύτερη σύνδεση το αίτημα που λείπει συνήθως επιστρέφει.