NetworkManager'da OpenConnect TOTP istemi görünmüyor: dört kontrol

Ağ geçidi parolayı kabul ediyor, kod istiyor ve iletişim penceresi bunun için hiçbir alan sunmuyor. Yanlış bir şey yazılmadı: NetworkManager eklentisi altı haneli değeri istemeden gizli bilgi alışverişini tamamladı. Aşağıdaki dört kontrolü sırayla yapın, çünkü bunlardan yalnızca biri istemciyi değiştirir. Listenin geri kalanı ağ geçidini, hesabı ve eklentinin derlemesini dışlar.

Birinci kontrol: kimlik doğrulamanın nerede durduğunu okuyun

Yanlış parola hemen başarısız olur. Eksik ikinci faktör, kimlik bilgileri adımından sonra başarısız olur; genellikle yinelenen bir istem veya ağ geçidi tarafında zaman aşımı ile. Zamanlama ve ağ geçidi günlüğü hangi turun yanıtsız kaldığını gösterir.

Profile dokunmadan önce bağlantı günlüğünü okuyun. Ağ geçidi eksik kimlik doğrulama veya süresi dolmuş bir meydan okuma bildiriyorsa istemci kodu hiç göndermemiştir. Geçersiz kimlik bilgileri bildiriyorsa sorun paroladır ve hiçbir TOTP ayarı bunu düzeltmez.

Ağ geçidinin beklediği tam istem sırasını not edin: kullanıcı adı, parola, sonra kod veya kullanıcı adı, kod, sonra parola. Bazı ağ geçitleri turların sırasını değiştirir ve yalnızca ilk sırayı bilen istemci ikincide takılır.

İkinci kontrol: meydan okumaya sahip istemciyi kullanın

OpenConnect'in kendisi meydan okuma turu dahil tüm konuşmayı uygular. Doğrudan çalıştırmak, hesabın ve ağ geçidinin çalıştığını doğrulamanın en öngörülebilir yoludur:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

İstemci, ağ geçidinin sorduğu sırayla sorar. Kullanıcı aracısı önemlidir çünkü bazı ağ geçitleri oturum açma akışını bilinen bir istemciye göre uyarlar ve genel bir dize kodu hiç istemeyen daha kısa bir akış üretebilir. Herhangi bir arka plan hizmeti kurmadan önce onu bir kez ön planda çalıştırın.

Komut satırı doğru sorarsa hesap, ağ geçidi ve ikinci faktör yolundadır. Kalan sorun eklentinin iletişim penceresidir, kimlik doğrulama hizmeti değil. Bu, sunucuya dokunmadan arızalı bileşeni yalıtır. Komutun çıktısını olay kaydıyla birlikte saklayın.

Komut satırı da istemi atlarsa durun ve ağ geçidi yapılandırmasını sahibiyle birlikte denetleyin. Hiçbir masaüstü istemcisi, sunucunun hiç göndermediği bir meydan okumaya yanıt veremez.

Üçüncü kontrol: eklentinizin TOTP modu sunup sunmadığına bakın

Bazı NetworkManager OpenConnect derlemeleri bağlantının Identity sekmesinde bir belirteç modu ve kullanıcı aracısı alanı sunar. Kullanıcı aracısını ağ geçidinin beklediği değere ayarlayın, elle TOTP girişini seçin ve bağlantıyı kaydedin.

Bu alanların var olup olmaması eklenti sürümüne ve masaüstünün hangi bağlantı düzenleyicisini kullandığına bağlıdır. Bağımsız bir düzenleyici, GNOME panelinin gizlediği seçenekleri gösterebilir ya da tam tersi. Gizli bir ayarı aramadan önce kurulu paketin sürümünü denetleyin.

Belirteç modu varsa ve istem yine görünmüyorsa derlemede eklenti ile genel gizli bilgi iletişim penceresi arasında meydan okuma aktarımı yoktur. Parolayı yeniden yazmak, aynı paketi yeniden kurmak veya anahtarlık temizlemek derlemenin uygulamadığı bir alanı oluşturmaz.

Dördüncü kontrol: oluşturulan kodu bir ödünleşim olarak görün

Bir betik, geçerli kod için oathtool çağırabilir ve kullanıcı adını, parolayı ve kodu nmcli connection up --ask komutuna verebilir. Dizi çalışır, ancak paylaşılan gizli bilgi betiği açabilen herkesin okuyabileceği bir yerde saklanır ve o okuyucu sonsuza kadar kod üretebilir. Bu, kimlik bilgisi yüzeyinin kalıcı genişlemesidir, istemci düzeltmesi değil.

Bunu seçen kişi gizli dosyayı root ile sınırlamalı, üretilen değerleri kabuk geçmişinin dışında tutmalı ve betiği kimlik bilgisi malzemesi olarak görmelidir. Kodu terminale yansıtan sarmalayıcı ikinci faktörü çöpe atar. Önce tek kullanımlık bir hesapla sarmalayıcıyı deneyin.

Betik ağ geçidinin istem sırasına da uymalıdır. Sunucu kodu paroladan önce istiyorsa sabit bir giriş dizisi yanlış değeri yanlış isteme gönderir ve aynı eksik kimlik doğrulamayı üretir. Oturum açma işine bağlamadan önce bir test hesabıyla prova edin.

Aynı ağ geçidini ve hesabı doğrulayın

Her geçici çözümü aynı ağ geçidine, aynı hesaba ve aynı tünel grubuna karşı test edin. Ayrıca cihaz sertifikası isteyen bir ağ geçidi, komut satırı istemcisini TOTP ile ilgisiz bir nedenle reddedebilir ve istem sırası prova edilenden farklı olabilir.

Çalışan istemciyi, sürümünü, kullanıcı aracısını ve istem sırasını kaydedin. Bu kayıt, bir sonraki kişiye sorunun eklenti derlemesinde, ağ geçidi akışında yoksa hesap ilkesinde olduğunu bir tur daha parola sıfırlamadan söyler.

Tam oturum kapatmanın ardından bir kez yeniden bağlanarak bitirin. Önbelleğe alınmış bir gizli bilgi, bozuk bir akışı bir sonraki oturuma kadar düzeltilmiş gibi gösterebilir ve eksik istem genellikle ikinci bağlantıda geri döner.