OpenConnects TOTP eskaera falta da NetworkManager-en: lau egiaztapen

Atebideak pasahitza onartzen du, kodea eskatzen du, eta elkarrizketak ez du horretarako eremurik eskaintzen. Ez da ezer gaizki idatzi: NetworkManager-en pluginek sekretu-trukea osatu du sei digituko balioa eskatu gabe. Jarraian dauden lau egiaztapenak ordenan egin itzazu, horietako batek bakarrik aldatzen baitu bezeroa. Zerrendaren gainerakoak ate-lekua, kontua eta pluginaren konpilazioa baztertzen ditu.

Lehen egiaztapena: irakurri non gelditu zen autentifikazioa

Pasahitz okerrak berehala huts egiten du. Falta den bigarren faktoreak kredentzialen urratsaren ondoren huts egiten du, normalean eskaera errepikatu batekin edo ate-lekuaren aldean denbora-muga amaituta. Denborak eta ate-lekuaren erregistroak erakusten dute zein txanda geratu zen erantzunik gabe.

Irakurri konexioaren erregistroa profila ukitu aurretik. Ate-lekuak autentifikazio osatugabea edo iraungitako erronka jakinarazten badu, bezeroak ez zuen kodea inoiz bidali. Kredentzial baliogabeak jakinarazten baditu, pasahitza da arazoa eta TOTP ezarpen batek ere ez du konponduko.

Idatzi ate-lekuak espero duen eskaera-sekuentzia zehatza: erabiltzaile-izena, pasahitza eta gero kodea, edo erabiltzaile-izena, kodea eta gero pasahitza. Ate-leku batzuek txandak berrantolatzen dituzte, eta lehen ordena soilik ezagutzen duen bezeroa bigarrenean trabatuko da.

Bigarren egiaztapena: erabili erronka duen bezeroa

OpenConnect-ek berak elkarrizketa osoa ezartzen du, erronka-txanda barne. Zuzenean exekutatzea da kontua eta ate-lekua ondo daudela baieztatzeko modurik aurreikusgarriena:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Bezeroak ate-lekuak galdetzen duen ordenan galdetzen du. Erabiltzaile-agentea garrantzitsua da, ate-leku batzuek saio-hasierako fluxua bezero ezagun batera egokitzen dutelako, eta kate orokor batek kodea inoiz eskatzen ez duen fluxu laburragoa sor dezakeelako. Exekutatu behin aurreko planean edozein atzeko zerbitzu antolatu aurretik.

Komando-lerroak behar bezala galdetzen badu, kontua, ate-lekua eta bigarren faktorea ondo daude. Gainerako arazoa pluginaren elkarrizketa da, ez autentifikazio-zerbitzua. Horrek huts egiten duen osagaia isolatzen du zerbitzaria ukitu gabe. Gorde komandoaren irteera gorabeheraren erregistroarekin batera.

Komando-lerroak eskaera ere saltatzen badu, gelditu eta egiaztatu ate-lekuaren konfigurazioa bere arduradunarekin. Mahaigaineko bezero batek ere ezin dio erantzun zerbitzariak inoiz bidaltzen ez duen errorkari.

Hirugarren egiaztapena: ikusi zure pluginak TOTP modua eskaintzen duen

NetworkManager OpenConnect-en konpilazio batzuek token modua eta erabiltzaile-agentearen eremua erakusten dituzte konexioaren Identity fitxan. Ezarri erabiltzaile-agentea ate-lekuak espero duen balioan, hautatu TOTP sarrera eskuz eta gorde konexioa.

Eremu horiek badauden pluginaren bertsioaren eta mahaigainak zein konexio-editore erabiltzen duen araberakoa da. Editore autonomo batek GNOME panelak ezkutatzen dituen aukerak erakuts ditzake, edo alderantziz. Egiaztatu instalatutako paketearen bertsioa ezkutuko ezarpen baten bila hasi aurretik.

Token modua badago eta eskaera oraindik agertzen ez bada, konpilazioak ez du erronkaren eskualdaketarik pluginaren eta sekretu-elkarrizketa orokorraren artean. Pasahitza berriz idazteak, pakete bera berriz instalatzeak edo giltza-eraztuna garbitzeak ez du konpilazioak ezartzen ez duen eremurik sortuko.

Laugarren egiaztapena: tratatu sortutako kodea konpromiso gisa

Script batek oathtool dei dezake uneko koderako eta erabiltzaile-izena, pasahitza eta kodea nmcli connection up --ask komandora pasa. Sekuentziak funtzionatzen du, baina partekatutako sekretua scripta ireki dezakeen edonork irakur dezakeen leku batean gordetzen da, eta irakurle horrek betiko sortu ditzake kodeak. Hori kredentzialen azaleraren luzapen iraunkorra da, ez bezeroaren konponketa.

Hori aukeratzen duenak sekretu-fitxategia root-en murriztu behar du, sortutako balioak shell-historialetik kanpo eduki eta scripta kredentzial-material gisa tratatu. Kodea terminalera islatzen duen bilgarriak bigarren faktorea botatzen du. Probatu bilgarria aldi baterako kontu batekin lehenik.

Scriptak ate-lekuaren eskaera-ordena ere jarraitu behar du. Zerbitzariak kodea pasahitza baino lehen eskatzen badu, sarrera-sekuentzia finko batek balio okerra eskaera okerrean bidaltzen du eta autentifikazio osatugabe bera sortzen du. Entseatu proba-kontu batekin saio-hasierako lan batera konektatu aurretik.

Baieztatu ate-leku eta kontu bera

Probatu irtenbide alternatibo bakoitza ate-leku beraren, kontu beraren eta tunel-talde beraren aurka. Gailu-ziurtagiria ere eskatzen duen ate-lekuak komando-lerroko bezeroa TOTP-rekin zerikusirik ez duen arrazoi bategatik uxatu dezake, eta eskaera-ordena entseatutakoaren desberdina izan daiteke.

Idatzi bezeroa, bere bertsioa, erabiltzaile-agentea eta funtzionatu zuen eskaera-ordena. Erregistro horrek hurrengo pertsonari esaten dio arazoa pluginaren konpilazioan, ate-lekuaren fluxuan edo kontuaren politikan den, pasahitzak berrezartzeko beste txanda bat gabe.

Amaitu saio-itxi oso baten ondoren behin berriz konektatuz. Cachean gordetako sekretu batek fluxu hautsi bat konponduta bezala ager dezake hurrengo saiorarte, eta bigarren konexioan itzultzen da normalean falta den eskaera.