Уточни TOTP seed и статус модулей VPN

2026-05-19 12:20:45 +03:00
parent c42d2ba11e
commit 88e9695b03
3 changed files with 183 additions and 18 deletions
--- a/README.md
+++ b/README.md
@@ -2,11 +2,13 @@

 CLI-установка корпоративного VPN `vpn.lemanapro.ru` для macOS.

+**Модули по умолчанию:** Core: включён; Bitwarden: включён; Touch ID: включён; DNS cleanup: включён; runtime-патчи: применяются автоматически перед подключением.
+
 Репозиторий собирает в один воспроизводимый пакет то, что раньше было ручной локальной настройкой:

 - `openconnect` как VPN-клиент;
 - `openconnect-lite` для SAML SSO через Keycloak;
- опциональный Bitwarden CLI для LDAP-пароля и TOTP;
+- опциональный Bitwarden CLI для LDAP-пароля и TOTP seed;
 - опциональный Touch ID helper для мастер-пароля Bitwarden;
 - безопасный DNS cleanup через root-owned wrapper;
 - алиасы `vpn`, `vpn-debug`, `vpn-fix-dns`.
@@ -38,7 +40,7 @@ curl -fsSL https://git.dokops.ru/dokril/lemana-vpn/raw/branch/main/install.sh |
 curl -fsSL https://git.dokops.ru/dokril/lemana-vpn/raw/branch/main/install.sh | sh -s -- --without-touchid
 ```

-Минимальная установка без Bitwarden и Touch ID. Пароль LDAP и TOTP будут один раз записаны в macOS Keychain вручную:
+Минимальная установка без Bitwarden и Touch ID. В macOS Keychain вручную будут записаны LDAP-пароль и TOTP secret. Не текущий 30-секундный TOTP-код, а постоянный seed из настройки 2FA.

 ```sh
 curl -fsSL https://git.dokops.ru/dokril/lemana-vpn/raw/branch/main/install.sh | sh -s -- --minimal --configure-keychain
@@ -72,6 +74,35 @@ curl -fsSL https://example.org/dokril/lemana-vpn/raw/branch/main/install.sh \
 | `/etc/sudoers.d/lemana-vpn-dns` | `NOPASSWD` только для DNS cleanup wrapper |
 | `~/.zshrc` | Идемпотентный блок алиасов `vpn`, `vpn-debug`, `vpn-fix-dns` |

+## Статус модулей
+
+`vpn` и `vpn --status` первой строкой показывают, какие модули включены в конфиге и реально установлены на машине:
+
+```sh
+vpn --status
+Modules: core=ok, bitwarden=on, touchid=on, dns=on, patches=active, keychain=password:yes/totp_seed:yes
+VPN disconnected
+```
+
+Значения:
+
+| Поле | Значение |
+| --- | --- |
+| `core=ok` | Есть `openconnect`, `openconnect-lite` и config |
+| `bitwarden=on` | Модуль включён и `bw` установлен |
+| `bitwarden=off` | Модуль отключён через `--without-bitwarden` или `LEMANA_VPN_USE_BITWARDEN=0` |
+| `bitwarden=missing` | Модуль включён, но `bw` не найден |
+| `touchid=on/off/missing` | Состояние Touch ID helper |
+| `dns=on/missing` | Наличие DNS cleanup wrapper |
+| `patches=active/pending` | Применены ли runtime-патчи `openconnect-lite` |
+| `keychain=password:yes/totp_seed:yes` | Есть ли LDAP-пароль и TOTP seed в Keychain |
+
+JSON-режим тоже отдаёт модульный статус:
+
+```sh
+vpn --status --json
+```
+
 ## Модули

 ### Core
@@ -87,7 +118,9 @@ curl -fsSL https://example.org/dokril/lemana-vpn/raw/branch/main/install.sh \

 ### Bitwarden

-Включён по умолчанию. CLI при каждом запуске `vpn` пытается получить LDAP-пароль и TOTP из записи Bitwarden `LM LDAP`, затем записывает их в macOS Keychain для `openconnect-lite`.
+Включён по умолчанию. CLI при каждом запуске `vpn` пытается получить LDAP-пароль и TOTP seed из записи Bitwarden `LM LDAP`, затем записывает их в macOS Keychain для `openconnect-lite`.
+
+TOTP seed — это постоянный секрет 2FA. Сам одноразовый TOTP-код меняется каждые 30 секунд и генерируется `openconnect-lite` в момент входа.

 Отключить:

@@ -101,6 +134,34 @@ sh install.sh --without-bitwarden
 vpn-lemanapro.sh --configure-keychain
 ```

+### Если Bitwarden нет
+
+Bitwarden не обязателен. Без него установка работает как обычный `openconnect-lite` profile с секретами в macOS Keychain.
+
+Установка:
+
+```sh
+curl -fsSL https://git.dokops.ru/dokril/lemana-vpn/raw/branch/main/install.sh \
+  | sh -s -- --without-bitwarden --without-touchid --configure-keychain
+```
+
+Что понадобится:
+
+- LDAP username;
+- LDAP password;
+- TOTP secret из корпоративной 2FA настройки.
+
+Важно: вводить нужно не текущие 6 цифр из authenticator-приложения, а постоянный secret. Обычно он есть в QR-коде как `secret=BASE32...` или может быть показан при ручной настройке TOTP.
+
+Если secret есть только в QR-коде:
+
+1. Открой QR-код в приложении/на портале, где настраивалась 2FA.
+2. Найди режим ручной настройки, где показывается secret.
+3. Если доступен только QR, его нужно расшифровать любым локальным QR-сканером и взять параметр `secret`.
+4. Вставь secret в prompt `TOTP secret (BASE32...)`.
+
+Если TOTP secret получить нельзя, автоматический headless-вход невозможен: `openconnect-lite` не сможет сам генерировать свежий TOTP-код на каждом входе.
+
 ### Touch ID

 Включён по умолчанию. Установщик собирает `keychain-fingerprint` из `https://github.com/dss99911/keychain-fingerprint.git` и кладёт бинарник в `~/bin/keychain-fingerprint`.
@@ -128,7 +189,7 @@ vpn-fix-dns         # сбросить корпоративные DNS после
 1. CLI проверит `bw`.
 2. Если vault locked, попросит мастер-пароль.
 3. Если установлен Touch ID helper, предложит сохранить мастер-пароль за Touch ID prompt.
-4. Достанет `LM LDAP`, запишет LDAP-пароль и TOTP в Keychain.
+4. Достанет `LM LDAP`, запишет LDAP-пароль и TOTP seed в Keychain.
 5. Запустит `openconnect-lite` и пройдёт Keycloak SSO.

 ## Настройка
@@ -159,6 +220,8 @@ curl -fsSL https://git.dokops.ru/dokril/lemana-vpn/raw/branch/main/install.sh \
 - password: LDAP пароль;
 - TOTP: `otpauth://...secret=BASE32...` или raw BASE32 secret.

+Это не 6-значный одноразовый код. В Bitwarden должен лежать постоянный TOTP secret, из которого коды генерируются автоматически.
+
 ## Почему DNS wrapper, а не wildcard sudoers

 Старый вариант давал `NOPASSWD` на `networksetup -setdnsservers *`. Это слишком широкое право: любой локальный процесс пользователя мог поменять DNS на произвольный сервер.