OpenConnecti TOTP-küsimus puudub NetworkManageris: neli kontrolli

Lüüs võtab parooli vastu, küsib koodi ja dialoog ei paku selle jaoks ühtki välja. Midagi ei sisestatud valesti: NetworkManageri plugin lõpetas saladuse vahetuse ilma kuuekohalist väärtust küsimata. Käige allolevad neli kontrolli järjekorras läbi, sest ainult üks neist muudab klienti. Ülejäänud nimekiri välistab lüüsi, konto ja plugina buildi.

Esimene kontroll: lugege, kuhu autentimine peatus

Vale parool ebaõnnestub kohe. Puuduv teine faktor ebaõnnestub pärast mandaadi sammu, tavaliselt korduva küsimuse või lüüsi poolel aegunud ootamisega. Ajastus ja lüüsi logi näitavad, milline voor jäi vastamata.

Lugege ühenduse logi enne profiili puutumist. Kui lüüs teatab puudulikust autentimisest või aegunud väljakutsest, ei saatnud klient koodi kunagi. Kui see teatab kehtetutest mandaatidest, on probleem paroolis ja ükski TOTP-seade ei paranda seda.

Märkige üles täpne küsimuste järjekord, mida lüüs ootab: kasutajanimi, parool, seejärel kood, või kasutajanimi, kood, seejärel parool. Mõned lüüsid muudavad voorude järjekorda ja klient, kes teab ainult esimest järjekorda, takerdub teise juures.

Teine kontroll: kasutage klienti, kellele väljakutse kuulub

OpenConnect ise rakendab kogu vestlust, sealhulgas väljakutse vooru. Selle otse käivitamine on kõige prognoositavam viis kinnitada, et konto ja lüüs töötavad:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Klient küsib samas järjekorras, milles küsib lüüs. Kasutajaagent on oluline, sest mõned lüüsid kohandavad sisselogimisvoo tuntud kliendile ja üldine string võib anda lühema voo, mis ei küsi kunagi koodi. Käivitage see üks kord esiplaanil enne mis tahes taustateenuse seadistamist.

Kui käsurida küsib õigesti, on konto, lüüs ja teine faktor korras. Ülejäänud probleem on plugina dialoog, mitte autentimisteenus. See isoleerib rikkis komponendi serverit puutumata. Hoidke käsu väljund juhtumi kirjega koos.

Kui käsurida jätab küsimuse samuti vahele, peatuge ja kontrollige lüüsi konfiguratsiooni selle omanikuga. Ükski töölauaklient ei saa vastata väljakutsele, mida server kunagi ei saada.

Kolmas kontroll: vaadake, kas teie plugin pakub TOTP-režiimi

Mõned NetworkManager OpenConnecti buildid pakuvad märgirežiimi ja kasutajaagendi välja ühenduse Identity-vahekaardil. Seadke kasutajaagent lüüsi oodatavale väärtusele, valige käsitsi TOTP-sisestus ja salvestage ühendus.

Kas need väljad olemas on, sõltub plugina versioonist ja sellest, millist ühenduse redaktorit töölaud kasutab. Eraldiseisev redaktor võib näidata valikuid, mida GNOMEi paneel peidab, või vastupidi. Kontrollige paigaldatud paketi versiooni enne peidetud seade otsimist.

Kui märgirežiim on olemas ja küsimus ikkagi ei ilmu, puudub buildil väljakutse üleandmine plugina ja üldise saladuste dialoogi vahel. Parooli uuesti tippimine, sama paketi uuesti paigaldamine või võtmerõnga puhastamine ei loo välja, mida build ei rakenda.

Neljas kontroll: käsitlege genereeritud koodi kompromissina

Skript saab praeguse koodi jaoks kutsuda oathtool ja suunata kasutajanime, parooli ja koodi käsuga nmcli connection up --ask. Jada töötab, kuid jagatud saladus jääb lõpuks kohta, mida saab lugeda igaüks, kes skripti avada suudab, ja see lugeja võib koode igavesti tekitada. See on mandaadipinna püsiv laiendus, mitte kliendi parandus.

Kes selle valib, peaks piirama saladusfaili rootile, hoidma genereeritud väärtused shelli ajaloost eemal ja kohtlema skripti mandaadimaterjalina. Ümbris, mis koodi terminali kajastab, viskab teise faktori ära. Testige ümbrist esmalt ajutise kontoga.

Skript peab järgima ka lüüsi küsimuste järjekorda. Kui server küsib koodi enne parooli, saadab fikseeritud sisestusjada vale väärtuse valesse küsimusse ja tekitab sama puuduliku autentimise. Harjutage seda testkontoga enne sisselogimistööle ühendamist.

Kinnitage sama lüüs ja konto

Testige iga möödaviigu lahendust sama lüüsi, sama konto ja sama tunneligrupiga. Lüüs, mis nõuab ka seadmesertifikaati võib käsureaklienti tagasi lükata TOTP-ga mitteseotud põhjusel ja küsimuste järjekord võib erineda harjutatust.

Märkige üles klient, selle versioon, kasutajaagent ja töötanud küsimuste järjekord. See kirje ütleb järgmisele inimesele, kas probleem on plugina buildis, lüüsi voos või konto poliitikas, ilma veel ühe parooli lähtestamise vooruta.

Lõpetage ühe taasühendumisega pärast täielikku väljalogimist. Vahemällu salvestatud saladus võib panna katkise voo parandatuna näima kuni järgmise sessioonini ja just teisel ühendumisel naaseb puuduv küsimus tavaliselt.