OpenConnect TOTP užklausa nepasirodo NetworkManager: keturi patikrinimai

Vartai priima slaptažodį, prašo kodo, o dialoge tam nėra jokio lauko. Niekas nebuvo įvesta neteisingai: NetworkManager papildinys užbaigė slaptos reikšmės mainus nepaprašęs šešių skaitmenų reikšmės. Atlikite keturis toliau nurodytus patikrinimus iš eilės, nes tik vienas jų keičia klientą. Likęs sąrašas atmeta vartus, paskyrą ir papildinio surinkimą.

Pirmas patikrinimas: perskaitykite, kur sustojo autentifikavimas

Neteisingas slaptažodis nepavyksta iš karto. Trūkstamas antrasis veiksnys nepavyksta po prisijungimo duomenų žingsnio, dažniausiai su pakartotine užklausa arba pasibaigus laikui vartų pusėje. Laikas ir vartų žurnalas parodo, kuriame rate nebuvo atsakymo.

Prieš liesdami profilį perskaitykite ryšio žurnalą. Jei vartai praneša apie neužbaigtą autentifikavimą arba pasibaigusį iššūkį, klientas kodo taip ir neišsiuntė. Jei praneša apie negaliojančius prisijungimo duomenis, problema yra slaptažodis ir jokia TOTP nuostata to neištaisys.

Užsirašykite tikslią užklausų seką, kurios tikisi vartai: vartotojo vardas, slaptažodis, tada kodas, arba vartotojo vardas, kodas, tada slaptažodis. Kai kurie vartai pertvarko ratus, o klientas, žinantis tik pirmąją tvarką, sustos antrojoje.

Antras patikrinimas: naudokite klientą, kuriam priklauso iššūkis

Pats OpenConnect įgyvendina visą pokalbį, įskaitant iššūkio ratą. Paleisti jį tiesiogiai yra labiausiai nuspėjamas būdas patvirtinti, kad paskyra ir vartai veikia:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Klientas klausia ta tvarka, kuria klausia vartai. Vartotojo agentas svarbus, nes kai kurie vartai prisitaiko prisijungimo eigą prie žinomo kliento, o bendra eilutė gali sukurti trumpesnę eigą, kuri niekada neprašo kodo. Paleiskite jį vieną kartą priekiniame plane prieš tvarkydami bet kokią foninę tarnybą.

Jei komandinė eilutė klausia teisingai, paskyra, vartai ir antrasis veiksnys yra tvarkingi. Likusi problema yra papildinio dialogas, o ne autentifikavimo tarnyba. Tai izoliuoja sugedusį komponentą neliečiant serverio. Išsaugokite komandos išvestį su incidento įrašu.

Jei komandinė eilutė taip pat praleidžia užklausą, sustokite ir patikrinkite vartų konfigūraciją su jų savininku. Joks darbalaukio klientas negali atsakyti į iššūkį, kurio serveris niekada nesiunčia.

Trečias patikrinimas: pažiūrėkite, ar papildinys siūlo TOTP režimą

Kai kurie NetworkManager OpenConnect surinkimai siūlo žetono režimą ir vartotojo agento lauką ryšio Identity skirtuke. Nustatykite vartotojo agentą į reikšmę, kurios tikisi vartai, pasirinkite rankinį TOTP įvedimą ir išsaugokite ryšį.

Ar šie laukai yra, priklauso nuo papildinio versijos ir nuo to, kurį ryšių redaktorių naudoja darbalaukis. Savarankiškas redaktorius gali rodyti parinktis, kurias GNOME skydelis slepia, arba atvirkščiai. Prieš ieškodami paslėptos nuostatos patikrinkite įdiegtos paketo versiją.

Jei žetono režimas yra, o užklausa vis tiek nepasirodo, surinkime trūksta iššūkio perdavimo tarp papildinio ir bendro slaptos reikšmės dialogo. Slaptažodžio perrašymas, to paties paketo perįdiegimas ar raktinės saugyklos išvalymas nesukurs lauko, kurio surinkimas neįgyvendina.

Ketvirtas patikrinimas: sugeneruotą kodą vertinkite kaip kompromisą

Scenarijus gali iškviesti oathtool dabartiniam kodui ir perduoti vartotojo vardą, slaptažodį bei kodą į nmcli connection up --ask. Seka veikia, bet bendra paslaptis galiausiai saugoma ten, kur ją gali perskaityti kiekvienas, galintis atidaryti scenarijų, ir tas skaitytojas gali amžinai kurti kodus. Tai nuolatinis prisijungimo duomenų paviršiaus išplėtimas, o ne kliento pataisa.

Kas tai pasirenka, turėtų užrakinti slaptos reikšmės failą root, laikyti sugeneruotas reikšmes už shell istorijos ribų ir traktuoti scenarijų kaip prisijungimo duomenų medžiagą. Apvalkalas, kuris kodu atkartoja terminale, išmeta antrąjį veiksnį. Pirmiausia išbandykite apvalkalą su laikina paskyra.

Scenarijus taip pat turi laikytis vartų užklausų tvarkos. Jei serveris prašo kodo prieš slaptažodį, fiksuota įvesties seka siunčia neteisingą reikšmę neteisingai užklausai ir sukuria tą patį neužbaigtą autentifikavimą. Pasipraktikuokite su bandomąja paskyra prieš prijungdami prie prisijungimo darbo.

Patvirtinkite tuos pačius vartus ir paskyrą

Išbandykite kiekvieną apėjimo būdą su tais pačiais vartais, ta pačia paskyra ir ta pačia tunelio grupe. Vartai, kurie taip pat reikalauja įrenginio sertifikato, gali atmesti komandinės eilutės klientą dėl su TOTP nesusijusios priežasties, o užklausų tvarka gali skirtis nuo išbandytos.

Užsirašykite klientą, jo versiją, vartotojo agentą ir užklausų tvarką, kuri veikė. Šis įrašas pasako kitam žmogui, ar problema yra papildinio surinkime, vartų eigoje, ar paskyros politikoje, be dar vieno slaptažodžių atstatymo rato.

Užbaikite vieną kartą prisijungę iš naujo po visiško atsijungimo. Podėlyje laikoma paslaptis gali leisti sugedusią eigą matyti kaip sutvarkytą iki kitos sesijos, ir būtent antrojo prisijungimo metu trūkstama užklausa paprastai grįžta.