nach Update auf 25.10.1 Business offline, kein Login möglich

[Sanibonani]

Hallo zusammen,

unsere DEC3860 ist nach dem Update auf 25.10.1 Business nicht mehr erreichbar gewesen. Update lief per Webinterface fehlerfrei durch und informierte über Neustart. Danach war alles offline!

Nachdem ich heute vor Ort war und per Console Verbindung hatte, stellte ich fest, dass kein Login möglich ist (2FA TOTP war/ist aktiv). Internetzugriff im Default-LAN war aber gegeben. Alles hinter dem VLAN-TRUNK war weiterhin offline.

Habe die Firewall daraufhin durch Drücken sauber heruntergefahren und sah dabei Uptime ~10h. Danach habe ich einmal die Spannungsversorgung getrennt.
Firewall wieder gestartet, alle erlaubten VLANs kommen wieder ins Internet.

Ein Login ist aber weder per Console noch per Webinterface möglich. (default Login getestet, Passwort+2FA, 2FA+Passwort, nur Passwort ohne Erfolg)

Habe ich ein Problem mit der Uhrzeit auf der FW? Die Hardware ist aus 07/24.

Update von 25.10 -> 25.10.1
Zenarmor, Crowdsec, unbound, openvpn i.V.

Vielen Dank für Hilfestellungen.

[JeGr]

Klingt danach, als würde die Zeit ggf. nicht stimmen, dadurch ist der TOTP den die Firewall berechnet anders als der, den du mitgibst und damit falsch. Darum rät man nicht umsonst, einen Admin/Root Account zu machen mit "Brachialpasswort" (laaaange und komplex) und den im Tresor zu werfen, damit man einen Weg hat, der nicht an irgendwelchen Dependencies hängt um sich Notfalls einzuloggen.

Eventuell sind nach dem Update Crowdsec oder Zenarmor oder was anderes am Ausrasten, blockieren ggf. Verbindungen oder NTP und damit bekommst du keinen Zugriff. Das wäre zumindest eine Hypothese. Wenn du keinerlei andere Möglichkeit des Logins hast, wird das ggf. tricky.

Cheers

[Patrick M. Hausen]

Darum rät man nicht umsonst, einen Admin/Root Account zu machen mit "Brachialpasswort" (laaaange und komplex) und den im Tresor zu werfen

Das ist richtig. Leider beherrscht die OPNsense es aber nach wie vor nicht, 2FA für einzelne Accounts zu erzwingen oder eben nicht. D.h. wenn man die Möglichkeit des Login ohne 2FA aktiviert lässt, kann auch jeder andere Admin-Account diese einfach weg lassen.

Gruß
Patrick

[JeGr]

D.h. wenn man die Möglichkeit des Login ohne 2FA aktiviert lässt, kann auch jeder andere Admin-Account diese einfach weg lassen.

Oh stimmt, bei Local wird das der Fall sein, da hast du recht. Ich war im Kopf von zweitem Provider via LDAP/Radius + TOTP ausgegangen, dann bleibt natürlich Lokal noch eine non-TOTP Option. Aber beides Lokal wird der non-TOTP natürlich alles zunichte machen. Damn, da sollte man für Local+TOTP sowas wie Group-Binding anlegen, dass man das an Hand der Gruppe ggf. erzwingen/selektieren kann.