TOTP-førespurnaden frå OpenConnect manglar i NetworkManager: fire kontrollar

Gatewayen godtek passordet, ber om ein kode, og dialogen tilbyr ikkje noko felt for han. Ingenting vart skrive feil: NetworkManager-pluginen fullførte løyndomsutvekslinga utan å be om den sexsifra verdien. Gå gjennom dei fire kontrollane nedanfor i rekkjefølgje, fordi berre éin av dei endrar klienten. Resten av lista utelukkar gatewayen, kontoen og bygget av pluginen.

Fyrste kontroll: les kvar autentiseringa stoppa

Feil passord feilar med ein gong. Ein manglande andre faktor feilar etter legitimasjonssteget, vanlegvis med ein gjenteken førespurnad eller eit tidsavbrot på gateway-sida. Tidspunktet og gateway-loggen viser kva runde som vart ståande ubesvara.

Les tilkoplingsloggen før du rører profilen. Viss gatewayen rapporterer ufullstendig autentisering eller ei utløpt utfordring, sende klienten aldri koden. Viss han rapporterer ugyldige legitimasjonar, er passordet problemet, og inga TOTP-innstilling vil fikse det.

Noter den nøyaktige førespurnadsrekkjefølgja gatewayen ventar: brukarnamn, passord, deretter kode, eller brukarnamn, kode, deretter passord. Nokre gatewayar omorganiserer rundane, og ein klient som berre kjenner den fyrste rekkjefølgja, vil stoppe på den andre.

Andre kontroll: bruk klienten som eig utfordringa

OpenConnect sjølv implementerer heile samtalen, inkludert utfordringsrunden. Å køyre det direkte er den mest føreseielege måten å stadfeste at kontoen og gatewayen fungerer:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Klienten spør i den rekkjefølgja gatewayen spør. User agenten betyr noko fordi nokre gatewayar tilpassar innloggingsflyten til ein kjend klient, og ein generisk streng kan gje ein kortare flyt som aldri ber om koden. Køyr det éin gong i forgrunnen før du set opp nokon bakgrunnsteneste.

Viss kommandolinja spør rett, er kontoen, gatewayen og den andre faktoren i orden. Det gjenverande problemet er dialogen til pluginen, ikkje autentiseringstenesta. Det isolerer den feilande komponenten utan å røre serveren. Ta vare på kommandoutdata saman med hendingsrapporten.

Viss kommandolinja òg hoppar over førespurnaden, stopp og sjekk gateway-konfigurasjonen med eigaren. Ingen skrivebordsklient kan svare på ei utfordring som serveren aldri sender.

Tredje kontroll: sjå om pluginen din tilbyr TOTP-modus

Nokre NetworkManager OpenConnect-bygg tilbyr ein tokenmodus og eit user agent-felt i Identity-fana til tilkoplinga. Set user agenten til verdien gatewayen ventar, vel manuell TOTP-inntasting og lagre tilkoplinga.

Om desse felta finst, avheng av pluginversjonen og av kva tilkoplingsredigerar skrivebordet brukar. Ein frittståande redigerar kan vise alternativ som GNOME-panelet skjuler, eller omvendt. Sjekk versjonen til den installerte pakka før du leitar etter ei skjult innstilling.

Viss tokenmodusen finst og førespurnaden framleis ikkje viser seg, manglar bygget overleveringa av utfordringa mellom pluginen og den generiske løyndomsdialogen. Å skrive passordet på nytt, installere same pakka på nytt eller tømme nykelringen lagar ikkje eit felt som bygget ikkje implementerer.

Fjerde kontroll: handsam ein generert kode som ei avveging

Eit skript kan kalle oathtool for den gjeldande koden og sende brukarnamn, passord og kode inn i nmcli connection up --ask. Sekvensen verkar, men den delte løyndomen endar opp lagra ein stad som alle som kan opne skriptet kan lese, og den lesaren kan lage kodar for alltid. Det er ei varig utviding av legitimasjonsflata, ikkje ei klientretting.

Den som vel det, bør låse løyndomsfila til root, halde genererte verdiar utanfor skallhistoria og handsame skriptet som legitimasjonsmateriale. Ein wrapper som ekkoar koden til terminalen, kastar den andre faktoren. Test wrapperen med ein eingongskonto fyrst.

Skriptet må òg følgje førespurnadsrekkjefølgja til gatewayen. Viss serveren ber om koden før passordet, sender ein fast inndatasekvens feil verdi til feil førespurnad og gjev same ufullstendige autentisering. Øv på det med ein testkonto før du koplar det til ein innloggingsjobb.

Stadfest same gateway og same konto

Test kvar omveg mot same gateway, same konto og same tunnelgruppe. Ein gateway som òg krev eit einingarsertifikat kan avvise kommandolinjeklienten av ein grunn som ikkje har med TOTP å gjere, og førespurnadsrekkjefølgja kan avvike frå den du øvde på.

Noter klienten, versjonen, user agenten og førespurnadsrekkjefølgja som virka. Den registreringa fortel neste person om problemet er pluginbygget, gatewayflyten eller kontopolitikken, utan nok ein runde med passordtilbakestillingar.

Avslutt med å kople til på nytt éin gong etter full utlogging. Ein løyndom i mellomlageret kan få ein øydelagd flyt til å sjå reparert ut til neste økt, og det er ved den andre tilkoplinga den manglande førespurnaden vanlegvis kjem tilbake.