MFA সেবা ডাউন: VPN প্রবেশের নিয়ম আগেই ঠিক করুন

VPN প্রবেশ থেমে যায়, আর সতর্কতা জানায় যে দ্বিতীয় ফ্যাক্টরের সেবা পৌঁছানো যাচ্ছে না। কেউ এখনও সংযুক্ত হতে পারবে কি না, সে প্রশ্নের উত্তর বিরতির আগেই দেওয়া উচিত ছিল, বিরতির সময় নয়। অনুপলব্ধ যাচাইকারী কোনো ফ্যাক্টর পাস হয়েছে তার প্রমাণ নয়, আর প্রত্যাখ্যাত চ্যালেঞ্জ পৌঁছানো না যাওয়ার মতো একই ঘটনা নয়। নিচের রানবুক এই পার্থক্যকে এমন লিখিত নিয়মে পরিণত করে যা আপনি পরীক্ষা করতে পারেন।

ধাপ 1: তিনটি ফলাফলের নাম আলাদা করে দিন

তিনটি অবস্থা লিখে রাখুন এবং সেগুলো একসাথে মিশিয়ে ফেলতে অস্বীকার করুন: প্রাথমিক প্রমাণীকরণ ব্যর্থ হয়েছে, দ্বিতীয় ফ্যাক্টরের চ্যালেঞ্জ প্রত্যাখ্যাত বা সময় শেষ হয়েছে, এবং MFA সেবা কখনও উত্তর দেয়নি। প্রতিটির আলাদা মালিক, আলাদা লগ লাইন এবং আলাদা সঠিক প্রতিক্রিয়া আছে। একটি সাধারণ সময়-শেষ বার্তা লুকিয়ে রাখে আপনি কোনটিতে আছেন, আর এই অস্পষ্টতাই বিরতিকে তর্কে পরিণত করে। প্রয়োজন হওয়ার আগেই রানবুকে অবস্থাগুলোর নাম দিন।

প্রত্যাখ্যান মানে যাচাইকারী উত্তর দিয়েছে এবং না বলেছে, যা উপলব্ধতার সমস্যা নয় বরং নীতি-ফলাফল। সময় উত্তীর্ণ চেষ্টা মানে চ্যালেঞ্জটি ছিল এবং কেউ সময়মতো তা শেষ করেনি। পৌঁছানো না যাওয়া সেবা মানে প্রশ্নটির উত্তরই দেওয়া হয়নি। কেবল তৃতীয়টিই বিরতি।

ধাপ 2: প্রক্সি আসলে কোন ব্যর্থতা-মোড ব্যবহার করে তা পড়ুন

সেবায় সংযোগ করা না গেলে কোন সেটিং আচরণ নিয়ন্ত্রণ করে তা খুঁজুন, এবং তা টেমপ্লেট থেকে নয়, চলমান কনফিগারেশন থেকে পড়ুন। Duo-র RADIUS প্রক্সিতে নথিভুক্ত failmode মান হলো safe এবং secure, যেখানে safe কেবল প্রাথমিক প্রমাণীকরণ সফল হলে একটি চেষ্টা অনুমোদন করে, আর secure সেই অবস্থায় চেষ্টাটি প্রত্যাখ্যান করে।

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe নামটি উপলব্ধতার একটি পছন্দ বোঝায়, প্রতিটি গৃহীত সেশনে নতুন দ্বিতীয় ফ্যাক্টর ছিল এমন নিশ্চয়তা নয়। এই বাক্যটি ঝুঁকি রেজিস্টারে থাকা উচিত, কারণ সেটিং ঠিক এই বিনিময়টাই করে। মানটিকে অন্য সরবরাহকারী, অন্য ইন্টিগ্রেশন বা ভিন্ন প্রক্সি মোডে সাধারণীকরণ করবেন না; সেই পণ্যের নিজস্ব সমতুল্যের জন্য তার নথি পড়ুন। এই বোঝাপড়া ছাড়া বিক্রেতার উদাহরণ থেকে কপি করা কনফিগারেশন পরের বিরতির জন্য অপেক্ষা করা এক বিস্ময়।

কেউ কোন মোড সক্রিয় তা বলতে না পারলে থামুন। রানবুকের বাকি অংশ সেই উত্তরের উপর নির্ভর করে।

ধাপ 3: পুনরায় চেষ্টাগুলো প্রবাহের সাথে মিলিয়ে নিন

গেটওয়ের সময়সীমা ও পুনরায় চেষ্টার আচরণকে তার চালিত প্রমাণীকরণ প্রবাহের সাথে মিলিয়ে নিন। অসমন্বিত পুনরায় চেষ্টা একাধিক প্রম্পট তৈরি করে, চেষ্টা মেলানোকে বিভ্রান্ত করে এবং লগকে কোন ফলাফল কোন লগইনের তা বলতে অক্ষম করে রাখে। খুব দীর্ঘ সময়সীমা উপলব্ধতার নকশা নয়; এটি একই উত্তরের জন্য দীর্ঘতর অপেক্ষা।

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

প্রক্সির নিজস্ব অনুরোধ-সময়সীমা আলাদা সীমা: যে প্রমাণীকরণ অনুরোধ জারি হয় এবং কখনও সম্পূর্ণ হয় না তা প্রত্যাখ্যাত হয়, আর সেই প্রত্যাখ্যান কোনো বিরতি নয় যেখান থেকে ফিরে যাওয়া যায়। প্রত্যাখ্যান, অসম্পূর্ণ চ্যালেঞ্জ এবং পৌঁছানো না যাওয়া সেবাকে আপনার সিদ্ধান্ত-সারণির তিনটি ভিন্ন ইনপুট হিসেবে ধরুন। তারপর সারণিটি স্পষ্ট করুন: কোন অবস্থা প্রবেশ দেয়, কোন অবস্থা ধরে রাখে এবং কোন অবস্থা মানুষের কাছে এস্কেলেট করে।

দুটি উপাদান যদি উভয়ই পুনরায় চেষ্টা করে, প্রথমে পুনরায় চেষ্টার মালিকানা ঠিক করুন। ডুপ্লিকেট প্রম্পট দুই মালিকের লক্ষণ, ধীর সেবার নয়।

ধাপ 4: জরুরি প্রবেশ আলাদাভাবে পরিচালনা করুন

জরুরি প্রবেশ প্রয়োজন হলে তাকে নিজস্ব পরিধি, পরিচয়, অনুমোদন ও নিরীক্ষা-পথ দিন। সব ব্যবহারকারীর জন্য চুপচাপ MFA নিষ্ক্রিয় করা জরুরি প্রক্রিয়া নয়; এটি একটি ঘটনা সংযুক্ত স্থায়ী দুর্বলতা। নিরাপত্তা মালিক প্রবেশের নিয়ম, দৃশ্যমানতা এবং এস্কেলেশন পথ আগেই অনুমোদন করেন।

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

অ-উৎপাদন পরিবেশে পুরো ম্যাট্রিক্স পরীক্ষা করুন: প্রাথমিক ব্যর্থতা, ইচ্ছাকৃত প্রত্যাখ্যান, চ্যালেঞ্জের মেয়াদ শেষ এবং সেবার অনুপলব্ধতা। প্রতিটির জন্য প্রবেশের ফলাফল এবং লগে লেখা কারণ নথিভুক্ত করুন। কনফিগার করা আচরণ আবিষ্কার করতে উৎপাদনে বিরতি তৈরি করবেন না, এবং যে ঘটনার জন্য জরুরি পথটি লেখা হয়েছে সেই ঘটনার সময়ই প্রথমবার তা পরীক্ষা করবেন না। কখনও চালানো হয়নি এমন পুনরুদ্ধার প্রক্রিয়া একটি নথি, নিয়ন্ত্রণ নয়।

রানবুক শেষ হয় যখন তিনটি অবস্থার নাম দেওয়া হয়, চলমান সিস্টেম থেকে ব্যর্থতা-মোড পড়া হয়, পুনরায় চেষ্টার এক মালিক থাকে, এবং জরুরি প্রবেশের নিজস্ব অনুমোদন ও পর্যালোচনা থাকে। পূর্বানুমেয় প্রয়োগের সাথে একটি জানা পুনরুদ্ধার পথই নথিভুক্ত করার যোগ্য ফলাফল।