Permintaan TOTP OpenConnect tiada dalam NetworkManager: empat semakan

Gerbang menerima kata laluan, meminta kod, dan dialog tidak menawarkan sebarang medan untuknya. Tiada apa yang salah ditaip: pemalam NetworkManager menyelesaikan pertukaran rahsia tanpa meminta nilai enam digit. Lakukan empat semakan di bawah mengikut urutan, kerana hanya satu daripadanya mengubah klien. Selebihnya senarai menolak gerbang, akaun dan binaan pemalam.

Semakan satu: baca di mana pengesahan berhenti

Kata laluan salah gagal serta-merta. Faktor kedua yang hilang gagal selepas langkah kelayakan, biasanya dengan permintaan berulang atau tamat masa di sebelah gerbang. Masa dan log gerbang menunjukkan pusingan mana yang tidak dijawab.

Baca log sambungan sebelum menyentuh profil. Jika gerbang melaporkan pengesahan tidak lengkap atau cabaran yang tamat tempoh, klien tidak pernah menghantar kod itu. Jika ia melaporkan kelayakan tidak sah, masalahnya ialah kata laluan dan tiada tetapan TOTP akan membaikinya.

Catat urutan permintaan tepat yang dijangka oleh gerbang: nama pengguna, kata laluan, kemudian kod, atau nama pengguna, kod, kemudian kata laluan. Sesetengah gerbang menyusun semula pusingan, dan klien yang hanya tahu urutan pertama akan tersekat pada yang kedua.

Semakan dua: gunakan klien yang memiliki cabaran

OpenConnect sendiri melaksanakan keseluruhan perbualan, termasuk pusingan cabaran. Menjalankannya secara langsung ialah cara paling boleh dijangka untuk mengesahkan akaun dan gerbang berfungsi:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Klien bertanya mengikut urutan gerbang bertanya. Ejen pengguna penting kerana sesetengah gerbang menyesuaikan aliran log masuk kepada klien yang dikenali, dan rentetan generik boleh menghasilkan aliran lebih pendek yang tidak pernah meminta kod. Jalankannya sekali di latar hadapan sebelum mengatur mana-mana perkhidmatan latar belakang.

Jika baris arahan bertanya dengan betul, akaun, gerbang dan faktor kedua adalah baik. Masalah yang tinggal ialah dialog pemalam, bukan perkhidmatan pengesahan. Itu mengasingkan komponen yang rosak tanpa menyentuh pelayan. Simpan output arahan bersama rekod insiden.

Jika baris arahan juga melangkau permintaan, berhenti dan semak konfigurasi gerbang dengan pemiliknya. Tiada klien desktop boleh menjawab cabaran yang pelayan tidak pernah hantar.

Semakan tiga: lihat sama ada pemalam anda menawarkan mod TOTP

Sesetengah binaan NetworkManager OpenConnect menawarkan mod token dan medan ejen pengguna dalam tab Identity sambungan. Tetapkan ejen pengguna kepada nilai yang dijangka gerbang, pilih kemasukan TOTP secara manual dan simpan sambungan.

Sama ada medan itu wujud bergantung pada versi pemalam dan editor sambungan yang digunakan desktop. Editor berasingan mungkin menunjukkan pilihan yang disembunyikan panel GNOME, atau sebaliknya. Semak versi pakej yang dipasang sebelum mencari tetapan tersembunyi.

Jika mod token ada dan permintaan masih tidak muncul, binaan itu tidak mempunyai penyerahan cabaran antara pemalam dan dialog rahsia generik. Menulis semula kata laluan, memasang semula pakej yang sama atau mengosongkan gelang kunci tidak akan mencipta medan yang tidak dilaksanakan oleh binaan itu.

Semakan empat: anggap kod yang dijana sebagai kompromi

Skrip boleh memanggil oathtool untuk kod semasa dan menyalurkan nama pengguna, kata laluan dan kod ke nmcli connection up --ask. Urutan itu berfungsi, tetapi rahsia bersama akhirnya disimpan di tempat yang boleh dibaca oleh sesiapa yang boleh membuka skrip itu, dan pembaca itu boleh mencipta kod selamanya. Itu pengembangan kekal permukaan kelayakan, bukan pembetulan klien.

Sesiapa yang memilihnya harus mengunci fail rahsia kepada root, menyimpan nilai yang dijana di luar sejarah shell dan menganggap skrip itu sebagai bahan kelayakan. Pembalut yang menggemakan kod ke terminal membuang faktor kedua. Uji pembalut itu dengan akaun sekali guna dahulu.

Skrip juga mesti mengikut urutan permintaan gerbang. Jika pelayan meminta kod sebelum kata laluan, urutan input tetap menghantar nilai yang salah ke permintaan yang salah dan menghasilkan pengesahan tidak lengkap yang sama. Berlatih dengan akaun ujian sebelum menyambungkannya ke tugas log masuk.

Pastikan gerbang dan akaun yang sama

Uji setiap jalan pintas terhadap gerbang yang sama, akaun yang sama dan kumpulan terowong yang sama. Gerbang yang juga memerlukan sijil peranti boleh menolak klien baris arahan atas sebab yang tidak berkaitan dengan TOTP, dan urutan permintaan mungkin berbeza daripada yang dilatih.

Catat klien, versinya, ejen pengguna dan urutan permintaan yang berjaya. Rekod itu memberitahu orang seterusnya sama ada masalahnya binaan pemalam, aliran gerbang atau dasar akaun, tanpa satu lagi pusingan penetapan semula kata laluan.

Akhiri dengan menyambung semula sekali selepas log keluar sepenuhnya. Rahsia yang dicache boleh membuatkan aliran rosak kelihatan dibaiki sehingga sesi seterusnya, dan pada sambungan kedua permintaan yang hilang biasanya kembali.