srm RT2600AC - 2FA : code invalide... à la connexion à SRM

[MilesTEG1]

Hello,

Après un reboot du routeur, je veux me connecter, avec le 2FA activé depuis un moment, et là, impossible de valider le code 2FA de mon app de mot de passe... Je vérifie ce code avec une autre app de générateur de code (que j'ai paramétré en secours), mais c'est exactement le même code.
Je précise que j'ai bien vérifier la validité du code 2FA avec le chrono de 30s qui défile, et j'ai bien attendu un code qui avait au moins 25s de vie...

Mais rien y a fait : code erroné.

Il a fallu que je choisisse l'option "Mobile perdu" pour recevoir en email un code de validation.

Il me semble que ce soucis m'était déjà arrivé il y a quelques mois, mais j'avais alors réussi en insistant à me connecter. Ce matin ça voulait pas du tout.

Est-ce que c'est déjà arrivé à l'un d'entre vous ? Comment régler le soucis ?

@oracle7 @Diabolomagic

Bonne journée 👋🏻

Modifié le 5 avril 2021 par MilesTEG1

[oracle7]

@MilesTEG1

Bonjour,

Désolé, je n'ai jamais rencontré ce problème. Je croise les doigts ...😛

As-tu aussi bien récupérer sur ton compte Synology ta série de dix codes de secours ? Ca peut être utile ...

Cordialement

oracle7😉

[Einsteinium]

Lier à l’heure, donc serveur ntp... tu utilises quoi ?

[MilesTEG1]

Il y a 2 heures, oracle7 a dit :

@MilesTEG1

Bonjour,

Désolé, je n'ai jamais rencontré ce problème. Je croise les doigts ...😛

As-tu aussi bien récupérer sur ton compte Synology ta série de dix codes de secours ? Ca peut être utile ...

Cordialement

oracle7😉

C'est-à-dire ? Tu parles du compte Synology ? Ou du compte sur le Routeur ?
Si c'est le compte Synology, oui j'ai bien les codes de récupération ouf 🙂 Mais ils ne sont pas vraiment utiles sur le compte du routeur non ?

 

il y a 13 minutes, Einsteinium a dit :

Lier à l’heure, donc serveur ntp... tu utilises quoi ?

Oui, j'ai pensé à ça, mais l'heure est OK. 
J'utilise fr.pool.ntp.org comme sur les NAS.

Je viens d'avoir exactement la même chose sur mon pc windows à l'instant.
Sur ce pc windows, le serveur de temps c'est time.windows.com, mais là je ne sais pas comment changer (faut que je cherche sur internet).

edit : ha c'est bon j'ai trouvé comment modifier le serveur ntp sous windows, mais purée, vivement que le panneau de configuration disparaisse en passant tous ses réglages dans Paramètres...

Bon j'ai réussi à me connecter sur le routeur en laissant passer au moins un code temporaire avant de copier/coller le suivant...

Purée, c'est relou ça...

[Diabolomagic]

Il y a 10 heures, MilesTEG1 a dit :

Hello,

Après un reboot du routeur, je veux me connecter, avec le 2FA activé depuis un moment, et là, impossible de valider le code 2FA de mon app de mot de passe... Je vérifie ce code avec une autre app de générateur de code (que j'ai paramétré en secours), mais c'est exactement le même code.
Je précise que j'ai bien vérifier la validité du code 2FA avec le chrono de 30s qui défile, et j'ai bien attendu un code qui avait au moins 25s de vie...

Mais rien y a fait : code erroné.

Il a fallu que je choisisse l'option "Mobile perdu" pour recevoir en email un code de validation.

Il me semble que ce soucis m'était déjà arrivé il y a quelques mois, mais j'avais alors réussi en insistant à me connecter. Ce matin ça voulait pas du tout.

Est-ce que c'est déjà arrivé à l'un d'entre vous ? Comment régler le soucis ?

@oracle7 @Diabolomagic

Bonne journée 👋🏻

@MilesTEG1

Bonsoir, désolé pour la réponse tardive. J'ai eu ce problème sur le routeur il y a quelques semaines et cela était causé également par un problème de synchronisation d'heure.
Pour y remédier j'ai rajouté une ligne dans le crontab pour forcer la synchronisation de l'heure sur fr.pool.ntp.org tous les jours.

Depuis (je croise les doigts) plus de souci.

 

 

[MilesTEG1]

@Diabolomagic

Pourrais-tu me partager la ligne de commande que tu as mise ?

Je pense que ça vaudrait le coup de faire un ticket chez synology. Je vais voir pour en faire un 😉 

 

Merci à toi.

[MilesTEG1]

Voilà, ticket Synology créé.

[Einsteinium]

Retire le fr à pool et tu n’auras plus de problème 😉

[MilesTEG1]

Il a un soucis le domaine fr.pool.ntp.org ?

Je veux bien tenter avec pool.ntp.org .

Il est à noter que j'ai fr.pool.ntp.org dans le NAS, et que je n'ai pas le souvenir d'avoir rencontré le même soucis de connexion à DSM...

[Diabolomagic]

Il y a 13 heures, MilesTEG1 a dit :

@Diabolomagic

Pourrais-tu me partager la ligne de commande que tu as mise ?

Je pense que ça vaudrait le coup de faire un ticket chez synology. Je vais voir pour en faire un 😉 

 

Merci à toi.

@MilesTEG1

N'étant pas familier aux lignes de commandes, j'avais tapé la ligne qu'ils conseillent sur la page officiel du site.

https://www.ntppool.org/fr/use.html

ntpdate fr.pool.ntp.org

Il y a 2 heures, MilesTEG1 a dit :

Il a un soucis le domaine fr.pool.ntp.org ?

Je veux bien tenter avec pool.ntp.org .

Il est à noter que j'ai fr.pool.ntp.org dans le NAS, et que je n'ai pas le souvenir d'avoir rencontré le même soucis de connexion à DSM...

Perso, j'ai eu le phénomène inverse. Des bugs avec pool.ntp.org donc j'ai rajouté le fr devant et depuis plus de souci.

D'ailleurs c'est eux même qui conseille de faire cela sur leur site web.

https://www.ntppool.org/fr/use.html

"Comme pool.ntp.org vous assignera des serveurs de temps provenant du monde entier, la qualité de l'heure ne sera pas idéale. Vous obtiendrez un meilleur résultat si vous utilisez les zones continentales (par exemple : europe, north-america, oceania ou asia.pool.ntp.org), et encore un meilleur résultat si vous utilisez la zone du pays (comme ch.pool.ntp.org pour la Suisse). Il est aussi possible d'utiliser les préfixes 0, 1 et 2 pour toutes ces zones (par exemple : 0.ch.pool.ntp.org). Notez cependant que la zone du pays peut ne pas exister pour votre pays ou peut ne contenir qu'un ou deux serveurs de temps. Si vous connaissez des serveurs de temps qui sont très proches de vous (en terme de distance réseau, mesurable avec traceroute ou ping), l'heure obtenue sera probablement encore meilleur. "

[MilesTEG1]

@Diabolomagic
Il me semble que c'était pour la même raison que j'avais mis fr.pool.ntp.org dans tous mes périphériques 😄

Merci de la piqure de rappel 😉 

Dommage qu'il n'y ait pas de planificateur de tâche dans SRM comme sur DSM...

Car du coup, faut passer par la ligne de comme et se connecter en SSH sur le routeur c'est ça ?

Par contre, ajouter une ligne dans le crontab, un éditeur suffi ?

[oracle7]

@MilesTEG1

Bonjour,

Attention le conseiller sécurité de DSM n'aime pas que l'on modifie directement le crontab en SSH, il risque fort de t'envoyer des messages d'insanités ...

Il est préférable de mettre ta commande dans un Shell script "xxx.sh" et de programmer une tâche dans le gestionnaire de tâches de DSM qui exécutera ce Shell script à ta convenance. Maintenant ce que j'en dis ...

Cordialement

oracle7😉

[MilesTEG1]

il y a une heure, oracle7 a dit :

@MilesTEG1

Bonjour,

Attention le conseiller sécurité de DSM n'aime pas que l'on modifie directement le crontab en SSH, il risque fort de t'envoyer des messages d'insanités ...

Il est préférable de mettre ta commande dans un Shell script "xxx.sh" et de programmer une tâche dans le gestionnaire de tâches de DSM qui exécutera ce Shell script à ta convenance. Maintenant ce que j'en dis ...

Cordialement

oracle7😉

Pour DSM je suis bien d'accord 🙂 Même si je vais rien toucher dessus, car j'ai pas de soucis avec.
Mais pour SRM, tu fais comment ? Y a pas de planificateur de tâches...

[oracle7]

@MilesTEG1

Bonjour,

Il y a 2 heures, MilesTEG1 a dit :

Mais pour SRM, tu fais comment ? Y a pas de planificateur de tâches...

Bah, je ne fais rien : je ne me casse pas la tête 😛 j'ai juste configuré avec  un "fr.pool.ntp.org" et activé le service NTP sur SRM et DSM. Au final jamais aucun soucis avec la 2FA aussi bien sur les NAS que sur le RT.

Cordialement

oracle7😉

Modifié le 6 avril 2021 par oracle7

[MilesTEG1]

@oracle7 Tu as de la chance 🍀

J'espère que ça ne se reproduira pas...
Et sinon que le support synology trouvera quelque chose...

[Diabolomagic]

Il y a 8 heures, MilesTEG1 a dit :

@Diabolomagic
Il me semble que c'était pour la même raison que j'avais mis fr.pool.ntp.org dans tous mes périphériques 😄

Merci de la piqure de rappel 😉 

Dommage qu'il n'y ait pas de planificateur de tâche dans SRM comme sur DSM...

Car du coup, faut passer par la ligne de comme et se connecter en SSH sur le routeur c'est ça ?

Par contre, ajouter une ligne dans le crontab, un éditeur suffi ?

@MilesTEG1

Il faut se connecter avec l'utilisateur root en ssh et utiliser l'éditeur vi, cela suffit a modifier le fichier crontab.

[MilesTEG1]

Merci 🙂
Si ça se reproduit, faudra que j'y passe... mais je préfèrerais éviter d'activer le port SSH sur le routeur 😉

 

[Diabolomagic]

Je comprend, j'ai également eu du mal à m'y faire. Du coup je n'ai autorisé ce port qu'à mon PC, et biensur coupé les ponts vers ou depuis internet, je me suis dit que de pouvoir désactiver le 2FA en SSH serait une meilleure option qu'un reset total du routeur au cas ou cela devait venir à se reproduire.

Modifié le 7 avril 2021 par Diabolomagic

[MilesTEG1]

Bien vu.
Je peux tenter ça 😉

Tu as fait comment pour limiter l'accès au SSH qu'à ton PC ?

[Diabolomagic]

Il me semble de tête, avoir eu à modifier un fichier de conf en me connectant en ssh. Il faut que je regarde à nouveau.

[.Shad.]

Dans le pare-feu du routeur tu autorises juste l'IP locale du PC pour le port SSH.

[Diabolomagic]

Oups; effectivement, je confond avec IPTABLE. 😳

[MilesTEG1]

il y a 20 minutes, .Shad. a dit :

Dans le pare-feu du routeur tu autorises juste l'IP locale du PC pour le port SSH.

Ha bah oui, tellement simple que je n'y ait pas pensé 😄 

Faudra que je place aussi l'IP de mon MBA 😄 

J'ai eu une réponse du support :

Citation

Bonjour,

Merci d'avoir contacté le support Synology

D'après vos logs il y a effectivement un décalage avec le serveur NTP.

Pourriez vous donc temporairement utiliser un des serveurs ntp par défauts et me dire si le probleme se reproduit ?

je reste à votre disposition pour toute information complémentaire

Cordialement,

Je tente pendant quelques jours avec le serveur pool.ntp.org.
Faudra que je me déconnecte du routeur du coup et ne pas garder la session ouverte sur le navigateur 😅

Je vous tiens au courant.

[MilesTEG1]

@Diabolomagic

Je viens d'essayer de me connecter en SSH sur le routeur... Et bien c'est vraiment galère... 
Je ne peux pas y arriver avec mon compte administrateur créé USER-ADMIN  pour désactiver le compte admin.

J'ai beau tenter ce que je veux ça ne passe pas.
Si je réactive le compte admin, et que je me connecte avec, là ça fonctionne... Mais mon compte USER-ADMIN ne fonctionne toujours pas.

C'est vraiment naze comme système ça... devoir réactiver le compte admin pour se connecter en SSH est contre-intuitif pour la sécurité...

Y a pas une autre solution ? (en tout cas, moi je ne vois pas comment...)

[oracle7]

@MilesTEG1

Bonjour,

Rassures-toi tu n'es pas le seul à avoir des soucis à ce niveau sur le routeur.

Depuis quelques jours, si je tente une connexion avec puTTY avec mon compte User-ADMIN dès que je valide la saisie de mon MdP, puTTY quitte violemment sans aucune explication.

Maintenant depuis WinSCP, j'arrive à me connecter en SSH avec l'utilisateur root mais je dois renseigner le MdP, la connexion par clé SSH ne fonctionne plus : la clé est refusée par le serveur.

Citation

Using username "root".
Server refused our key
root@192.168.2.1's password:

J'ai donc refait une pair de clés privées/publique mais rien y fait, clé toujours refusée par le serveur.

Ce qui est bizarre c'est que sur les NAS, il n'y a aucun problèmes à ce niveau.

Sinon, j'arrive à désactiver sans problème le compte admin par défaut du routeur.

Autre constat, il faut impérativement désactiver les plugins du type "uBlock Origin" dans le navigateur (FF) utilisé pour se connecter à SRM sinon, on reçoit des messages comme quoi l'utilisateur courant n'est pas autorisé pour valider par ex une modification dans le pare-feu du routeur. Va comprendre ???

Au final, je me demande si ces problèmes ne font pas suite à la mise à jour du paquet VPN Plus Server qui a eut lieu il y à 3 semaines même si le rapport avec n'est pas évident. En tous cas, c'est bizarre ????

Ton avis STP

Cordialement

oracle7😉