OpenConnectin TOTP-kysely puuttuu NetworkManagerista: neljä tarkistusta

Yhdyskäytävä hyväksyy salasanan, pyytää koodia, eikä valintaikkuna tarjoa sille kenttää. Mitään ei kirjoitettu väärin: NetworkManagerin liitännäinen suoritti salaisuuden vaihdon pyytämättä kuusinumeroista arvoa. Käy alla olevat neljä tarkistusta järjestyksessä läpi, sillä vain yksi niistä muuttaa asiakasta. Loppu luettelosta sulkee pois yhdyskäytävän, tilin ja liitännäisen koontiversion.

Ensimmäinen tarkistus: lue, mihin todennus pysähtyi

Väärä salasana epäonnistuu heti. Puuttuva toinen tekijä epäonnistuu tunnistetietovaiheen jälkeen, yleensä toistuvalla kyselyllä tai yhdyskäytävän puolella aikakatkaisulla. Ajoitus ja yhdyskäytävän loki kertovat, mikä kierros jäi vastaamatta.

Lue yhteysloki ennen profiiliin koskemista. Jos yhdyskäytävä ilmoittaa puutteellisesta todennuksesta tai vanhentuneesta haasteesta, asiakas ei koskaan lähettänyt koodia. Jos se ilmoittaa virheellisistä tunnistetiedoista, ongelma on salasanassa, eikä mikään TOTP-asetus korjaa sitä.

Kirjaa ylös tarkka kyselyjärjestys, jota yhdyskäytävä odottaa: käyttäjänimi, salasana ja sitten koodi, tai käyttäjänimi, koodi ja sitten salasana. Jotkin yhdyskäytävät järjestävät kierrokset uudelleen, ja asiakas, joka tuntee vain ensimmäisen järjestyksen, pysähtyy toiseen.

Toinen tarkistus: käytä asiakasta, jolle haaste kuuluu

OpenConnect itse toteuttaa koko keskustelun, myös haastekierroksen. Sen suora suorittaminen on ennustettavin tapa varmistaa, että tili ja yhdyskäytävä toimivat:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Asiakas kysyy siinä järjestyksessä kuin yhdyskäytävä kysyy. Käyttäjäagentti on tärkeä, koska jotkin yhdyskäytävät räätälöivät kirjautumisvirran tunnetulle asiakkaalle, ja yleinen merkkijono voi tuottaa lyhyemmän virran, joka ei koskaan pyydä koodia. Suorita se kerran etualalla ennen minkään taustapalvelun järjestämistä.

Jos komentorivi kysyy oikein, tili, yhdyskäytävä ja toinen tekijä ovat kunnossa. Jäljelle jäävä ongelma on liitännäisen valintaikkuna, ei todennuspalvelu. Tämä eristää viallisen osan koskematta palvelimeen. Säilytä komennon tuloste tapahtumaraportin kanssa.

Jos myös komentorivi ohittaa kyselyn, pysähdy ja tarkista yhdyskäytävän kokoonpano sen omistajan kanssa. Mikään työpöytäasiakas ei voi vastata haasteeseen, jota palvelin ei koskaan lähetä.

Kolmas tarkistus: katso, tarjoaako liitännäisesi TOTP-tilaa

Jotkin NetworkManager OpenConnect -koontiversiot tarjoavat token-tilan ja käyttäjäagenttikentän yhteyden Identity-välilehdellä. Aseta käyttäjäagentti arvoon, jota yhdyskäytävä odottaa, valitse manuaalinen TOTP-syöttö ja tallenna yhteys.

Se, ovatko nämä kentät olemassa, riippuu liitännäisen versiosta ja siitä, mitä yhteyksien muokkainta työpöytä käyttää. Erillinen muokkain voi näyttää asetuksia, jotka GNOME-paneeli piilottaa, tai päinvastoin. Tarkista asennetun paketin versio ennen piilotetun asetuksen etsimistä.

Jos token-tila on olemassa eikä kysely silti ilmesty, koontiversiosta puuttuu haasteen siirto liitännäisen ja yleisen salaisuusikkunan välillä. Salasanan uudelleen kirjoittaminen, saman paketin uudelleen asentaminen tai avainnipun tyhjentäminen ei luo kenttää, jota koontiversio ei toteuta.

Neljäs tarkistus: käsittele luotua koodia kompromissina

Skripti voi kutsua oathtool-työkalua nykyisen koodin hakemiseksi ja syöttää käyttäjänimen, salasanan ja koodin komentoon nmcli connection up --ask. Järjestys toimii, mutta jaettu salaisuus päätyy tallennetuksi paikkaan, jonka voi lukea kuka tahansa skriptin avaava, ja tuo lukija voi tuottaa koodeja ikuisesti. Se on tunnistetietopinnan pysyvä laajennus, ei asiakkaan korjaus.

Sen valitsevan kannattaa rajata salaisuustiedosto rootille, pitää luodut arvot poissa komentotulkin historiasta ja kohdella skriptiä tunnistetietomateriaalina. Kääre, joka kaikuu koodin päätteeseen, heittää toisen tekijän pois. Testaa käärettä ensin kertakäyttöisellä tilillä.

Skriptin on myös noudatettava yhdyskäytävän kyselyjärjestystä. Jos palvelin pyytää koodin ennen salasanaa, kiinteä syöttöjärjestys lähettää väärän arvon väärään kyselyyn ja tuottaa saman puutteellisen todennuksen. Harjoittele sitä testitilillä ennen kuin kytket sen kirjautumistyöhön.

Varmista sama yhdyskäytävä ja tili

Testaa jokaista kiertotietä samaa yhdyskäytävää, samaa tiliä ja samaa tunneliryhmää vasten. Yhdyskäytävä, joka vaatii myös laitevarmenteen, voi hylätä komentoriviasiakkaan syystä, joka ei liity TOTP:hen, ja kyselyjärjestys voi poiketa harjoitellusta.

Kirjaa asiakas, sen versio, käyttäjäagentti ja kyselyjärjestys, joka toimi. Tämä merkintä kertoo seuraavalle henkilölle, onko ongelma liitännäisen koontiversiossa, yhdyskäytävän virrassa vai tilin käytännössä, ilman uutta salasanojen nollauskierrosta.

Lopeta yhdistämällä kerran uudelleen täyden uloskirjautumisen jälkeen. Välimuistiin tallennettu salaisuus voi saada rikkinäisen virran näyttämään korjatulta seuraavaan istuntoon asti, ja juuri toisella yhdistämiskerralla puuttuva kysely yleensä palaa.