Authentifizierung localdatabase und LADP

[cklahn]

Hallo Forum,

ich hatte eine OPNsense 24.4. normal aufgesetzt und für den root-User ein Passwort vergeben.

Dann hatte ich eine Authentifizierung mit einem LDAP-Server eingerichtet, da ich mit einer Gruppe VPN im AD lediglich die User OpenVPN machen lassen wollte, die im AD Mitglied der Gruppe sind. Das klappte soweit auch ganz gut, bis ich mich einmal vom Webinterface der OPNsense abgemeldet hatte.

Ich kann mich nun nicht mehr anmelden, da das Passwort für root angeblich falsch sei.

Ist es so, daß wenn man die Authentifizierung mit LDAP einschaltet, die localdatabase nicht mehr parallel läuft?

Grüsse...

[cklahn]

Habe nun im AD einen Benutzer root mit dem ursprünglichen Root-Passwort angelegt. Nun kann ich mich zumindest an der Shell wieder anmelden.

Wie kann ich die OPNsense so konfigurieren, daß sowohl die localdatabase als auch LDAP für die Authentifizierung aktiv sind? Ich will LDAP eigentlich nur für die OpenVPN-User haben.

[Patrick M. Hausen]

System > Settings > Administration > Authentication > Server

[cklahn]

Ahh, da kann ich dann beide angeben.

Ich habe nun das Problem, daß ich mich nicht am GUI anmelden kann. root und PW sind richtig, da keine Fehlermeldung mehr kommt.

Ich vermute, daß es daran liegt, daß ich HSTS eingeschaltet habe.

Per SSH komme ich auf das System. Kann ich dort einen Parameter verändern, daß HSTS wieder deaktiviert wird? Ggfs. in der config.xml?

[Patrick M. Hausen]

Du hast doch sicher eine HTTPS-Verbindung im Browser? Also weshalb sollte HSTS hier die Ursache für die Login-Probleme sein? HSTS erzwingt HTTPS, mehr tut es nicht.

Du kannst sicher irgendwie die config.xml editieren und z.B. den LDAP-Server erst einmal wieder entfernen. Ich weiß aber nicht auswendig, wie, würde auch suchen und rumbasteln.

Ich würde für das UI dann nur die lokale Authentifizierung eingeschaltet lassen, nicht beide.

[cklahn]

Ok, hatte über die Konsole einen Root-Passwort-Reset gemacht. Das System fragt mich dann, ob ich die Authentifizierung wieder über die localdatabase machen möchte. Das habe ich bejaht und wieder mein ursprüngliches root-PW eingegeben.

Somit sollte nun die Verbindung zum LDAP getrennt sein.

Eine Anmeldung am UI ist aber dennoch nicht möglich. Wenn ich an der Eingabemaske root / Passwort eingebe und dann Login drücke, gibts keine Fehlermeldung, aber er springt wieder in die Eingabemaske, ohne das was passiert.

Wenn ich den Browser-Cache lösche und ich danach versuche kommt:

"CSRF check failed. Your form session may have expired, or you may not have cookies enabled."


Was mag das denn sein?

[cklahn]

Hat keiner eine Idee?

Selbst das Zurückspielen eines Backups hat nicht geholfen. Da scheint irgendwas zerschossen zu sein.
Ich werde das Gerät mal auf Werkseinstellungen zurücksetzen und dann ein Backup einspielen.

[cklahn]

Ein Reset auf Werkseinstellungen hatte zunächst geholfen. Ich konnte dann wieder mit root/opnsense aufs GUI zugreifen. Nach dem Einspielen das Backup aber wieder das gleiche Problem.

Habe nun komplett neu installiert und rudimentär aufgesetzt. Werde jetzt mal vor jeder Änderung ein Backup machen, um zu sehen, ab wann der Fehler auftritt.