NetworkManager ішінде OpenConnect TOTP сұрауы жоқ: төрт тексеру

Шлюз құпиясөзді қабылдайды, код сұрайды, ал диалог ол үшін ешбір өріс ұсынбайды. Ешнәрсе қате терілмеген: NetworkManager қосымшасы алты таңбалы мәнді сұрамай-ақ құпия алмасуын аяқтады. Төмендегі төрт тексеруді ретімен орындаңыз, өйткені олардың тек біреуі ғана клиентті өзгертеді. Тізімнің қалғаны шлюзді, тіркелгіні және қосымша құрылысын жоққа шығарады.

Бірінші тексеру: аутентификацияның қай жерде тоқтағанын оқыңыз

Қате құпиясөз бірден сәтсіз аяқталады. Жоқ екінші фактор тіркелу деректері қадамынан кейін сәтсіз аяқталады, әдетте қайталанған сұраумен немесе шлюз жағында уақыт бітуімен. Уақыт пен шлюз журналы қай раунд жауапсыз қалғанын көрсетеді.

Профильге тимей тұрып қосылым журналын оқыңыз. Егер шлюз толық емес аутентификацияны немесе мерзімі өткен шақыруды хабарласа, клиент кодты ешқашан жібермеген. Егер жарамсыз тіркелу деректерін хабарласа, мәселе құпиясөзде және ешбір TOTP параметрі оны түзетпейді.

Шлюз күтетін сұрау ретін дәл жазып алыңыз: пайдаланушы аты, құпиясөз, содан кейін код, немесе пайдаланушы аты, код, содан кейін құпиясөз. Кейбір шлюздер раундтар ретін өзгертеді, ал тек бірінші ретті білетін клиент екіншісінде тұрып қалады.

Екінші тексеру: шақыруға ие клиентті пайдаланыңыз

OpenConnect өзі шақыру раундын қоса бүкіл әңгімені іске асырады. Оны тікелей іске қосу тіркелгі мен шлюздің жұмыс істейтінін растаудың ең болжамды жолы:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Клиент шлюз сұрайтын ретпен сұрайды. Пайдаланушы агенті маңызды, өйткені кейбір шлюздер кіру ағынын танымал клиентке бейімдейді, ал жалпы жол кодты ешқашан сұрамайтын қысқарақ ағын тудыруы мүмкін. Кез келген фондық қызметті реттемес бұрын оны бір рет алдыңғы планда іске қосыңыз.

Егер пәрмен жолы дұрыс сұраса, тіркелгі, шлюз және екінші фактор жарамды. Қалған мәселе — қосымша диалогы, аутентификация қызметі емес. Бұл ақаулы құрамдасты серверге тимей оқшаулайды. Пәрмен шығысын оқиға жазбасымен бірге сақтаңыз.

Егер пәрмен жолы да сұрауды өткізіп жіберсе, тоқтап, шлюз конфигурациясын оның иесімен бірге тексеріңіз. Сервер ешқашан жібермейтін шақыруға ешбір жұмыс үстелі клиенті жауап бере алмайды.

Үшінші тексеру: қосымшаңыз TOTP режимін ұсына ма, соны қараңыз

Кейбір NetworkManager OpenConnect құрылыстары қосылымның Identity қойындысында токен режимі мен пайдаланушы агенті өрісін көрсетеді. Пайдаланушы агентін шлюз күтетін мәнге қойыңыз, TOTP қолмен енгізуді таңдаңыз және қосылымды сақтаңыз.

Бұл өрістердің болуы қосымша нұсқасына және жұмыс үстелі қай қосылым редакторын пайдаланатынына байланысты. Дербес редактор GNOME панелі жасыратын опцияларды көрсетуі мүмкін, немесе керісінше. Жасырын параметрді іздемес бұрын орнатылған пакеттің нұсқасын тексеріңіз.

Егер токен режимі бар болса да сұрау әлі шықпаса, құрылыста қосымша мен жалпы құпия диалогы арасында шақыруды беру жоқ. Құпиясөзді қайта теру, сол пакетті қайта орнату немесе кілттер сақинасын тазалау құрылыс іске асырмаған өрісті жасамайды.

Төртінші тексеру: жасалған кодты ымыра ретінде қарастырыңыз

Скрипт ағымдағы код үшін oathtool шақырып, пайдаланушы атын, құпиясөзді және кодты nmcli connection up --ask ішіне жібере алады. Реттілік жұмыс істейді, бірақ ортақ құпия скриптті аша алатын кез келген адам оқи алатын жерде сақталады, және ол оқырман мәңгі код жасай алады. Бұл тіркелу деректері бетінің тұрақты кеңеюі, клиентті түзету емес.

Мұны таңдаған адам құпия файлын root-қа шектеп, жасалған мәндерді shell тарихынан тыс ұстап, скриптті тіркелу деректері материалы ретінде қарастыруы керек. Кодты терминалға қайталайтын қаптама екінші факторды лақтырып тастайды. Алдымен қаптаманы уақытша тіркелгімен сынап көріңіз.

Скрипт шлюздің сұрау ретін де сақтауы керек. Егер сервер кодты құпиясөзден бұрын сұраса, тұрақты енгізу реттілігі қате мәнді қате сұрауға жіберіп, сол толық емес аутентификацияны тудырады. Оны кіру жұмысына қоспас бұрын сынақ тіркелгісімен машықтаныңыз.

Сол шлюз мен тіркелгіні растаңыз

Әрбір айналып өту жолын сол шлюзге, сол тіркелгіге және сол туннель тобына қарсы сынаңыз. Құрылғы сертификатын да талап ететін шлюз пәрмен жолы клиентін TOTP-ге қатысы жоқ себеппен қабылдамауы мүмкін, ал сұрау реті машықтағаныңыздан өзгеше болуы мүмкін.

Жұмыс істеген клиентті, оның нұсқасын, пайдаланушы агентін және сұрау ретін жазып алыңыз. Бұл жазба келесі адамға мәселе қосымша құрылысында, шлюз ағынында әлде тіркелгі саясатында екенін құпиясөзді қайта қоюдың тағы бір раундынсыз айтады.

Толық шыққаннан кейін бір рет қайта қосылып аяқтаңыз. Кэштегі құпия бүлінген ағынды келесі сессияға дейін түзетілгендей көрсетуі мүмкін, ал жоқ сұрау әдетте екінші қосылымда қайтады.