Gwasanaeth MFA i lawr: penderfynwch am fynediad VPN cyn iddo fethu

Mae mynediad VPN yn stopio, ac mae’r rhybudd yn dweud bod y gwasanaeth ail factor yn anhygyrch. A all unrhyw un gysylltu o hyd yw cwestiwn polisi y dylid bod wedi’i ateb cyn y diffyg, nid yn ystod y diffyg. Nid yw gwiriwr sydd ddim ar gael yn dystiolaeth bod factor wedi pasio, ac nid yw her a wrthodwyd yn yr un digwyddiad â her anhygyrch. Mae’r llawlyfr gweithredu isod yn troi’r gwahaniaeth hwnnw’n reol ysgrifenedig y gallwch ei phrofi.

Cam 1: enwch y tri chanlyniad ar wahân

Ysgrifennwch dri chyflwr a gwrthodwch eu cyfuno: methodd y dilysu sylfaenol, gwrthodwyd her yr ail factor neu aeth hi’n rhy hwyr, ac ni atebodd y gwasanaeth MFA byth. Mae gan bob un berchnogion gwahanol, llinell log wahanol ac ymateb cywir gwahanol. Mae un neges amseru generig yn cuddio pa un ohonynt rydych ynddo, a’r amwyster hwnnw sy’n troi diffyg yn ddadl. Enwch y cyflyrau yn y llawlyfr gweithredu cyn i chi eu hangen.

Mae gwrthodiad yn golygu bod y gwiriwr wedi ateb a dweud na, sy’n ganlyniad polisi yn hytrach na phroblem argaeledd. Mae ymgais wedi dod i ben yn golygu bod yr her wedi bodoli ac na chwblhaodd neb hi mewn pryd. Mae gwasanaeth anhygyrch yn golygu na atebwyd y cwestiwn o gwbl. Dim ond y trydydd yw diffyg.

Cam 2: darllenwch y modd methu y mae’r dirprwy’n ei ddefnyddio mewn gwirionedd

Dewch o hyd i’r gosodiad sy’n llywodraethu ymddygiad pan na ellir cysylltu â’r gwasanaeth, a’i ddarllen o’r ffurfweddiad rhedegol yn hytrach nag o dempled. Yn nirprwy RADIUS Duo, y gwerthoedd failmode dogfennol yw safe a secure, gyda safe yn caniatáu ymgais yn unig pan fydd y dilysu sylfaenol yn llwyddo, a secure yn gwrthod yr ymgais yn y cyflwr hwnnw.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Mae’r enw safe yn disgrifio dewis argaeledd, nid gwarant bod gan bob sesiwn a dderbyniwyd ail factor newydd. Mae’r frawddeg honno’n perthyn i’r gofrestr risg, oherwydd dyna’r union fasnach y mae’r gosodiad yn ei wneud. Peidiwch â chyffredinoli’r gwerth i ddarparwr arall, i integreiddiad arall nac i fodd dirprwy gwahanol; darllenwch ddogfennaeth y cynnyrch hwnnw ar gyfer ei gyfwerth ei hun. Mae ffurfweddiad a gopïwyd o enghraifft gwerthwr heb y ddealltwriaeth hon yn syndod sy’n aros am y diffyg nesaf.

Stopiwch os na all neb ddweud pa fodd sy’n weithredol. Mae gweddill y llawlyfr gweithredu yn dibynnu ar yr ateb hwnnw.

Cam 3: gwnewch i ailgeisiadau gyd-fynd â’r llif

Aliniwch amseru a’r ymddygiad ailgynnig y porth â’r llif dilysu y mae’n ei yrru. Mae ailgeisiadau heb eu cydlynu yn creu anogiadau lluosog, yn drysu paru ymgeisiau ac yn gadael y log heb allu dweud pa ganlyniad sy’n perthyn i ba fewngofnod. Nid yw amseru hir iawn yn ddyluniad argaeledd; mae’n aros hirach am yr un ateb.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Mae amseru cais y dirprwy ei hun yn derfyn ar wahân: mae cais dilysu a gyhoeddir ac na chwblheir byth yn cael ei wrthod, ac nid yw’r gwrthodiad hwnnw’n ddiffyg y gellir cilio ohono. Triniwch wrthodiad, her heb ei chwblhau a gwasanaeth anhygyrch fel tri mewnbwn gwahanol i’ch tabl penderfyniadau. Yna gwnewch y tabl yn eglur: pa gyflwr sy’n derbyn, pa gyflwr sy’n dal, a pha gyflwr sy’n uwchgyfeirio at berson.

Os yw dau gydran yn ailgynnig ill dau, trwsiwch berchnogaeth yr ailgynnig yn gyntaf. Mae anogiadau dyblyg yn symptom o ddau berchennog, nid o wasanaeth araf.

Cam 4: llywodraethwch fynediad brys ar wahân

Os oes angen mynediad brys, rhowch gwmpas, hunaniaeth, awdurdodiad a thrywydd archwilio iddo ei hun. Nid yw analluogi MFA yn dawel i bob defnyddiwr yn weithdrefn frys; mae’n gwanhau parhaol gyda digwyddiad ynghlwm. Mae perchennog diogelwch yn cymeradwyo’r rheol fynediad, y gwelededd a’r llwybr uwchgyfeirio ymlaen llaw.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Profwch y matrics cyfan mewn amgylchedd nad yw’n gynhyrchu: methiant sylfaenol, gwrthodiad bwriadol, dod i ben yr her ac anargaeledd y gwasanaeth. Ar gyfer pob un, cofnodwch ganlyniad y fynediad a’r rheswm a logiwyd. Peidiwch â chreu diffyg cynhyrchu i ddarganfod yr ymddygiad a ffurfweddwyd, a pheidiwch â phrofi’r llwybr brys am y tro cyntaf yn ystod y digwyddiad yr ysgrifennwyd ef ar ei gyfer. Mae gweithdrefn adfer nad yw erioed wedi rhedeg yn ddogfen, nid yn reolaeth.

Mae’r llawlyfr gweithredu yn gorffen pan enwir y tri chyflwr, pan ddarllenir y modd methu o’r system redegol, pan fo gan ailgeisiadau un perchennog, a phan fo gan fynediad brys ei gymeradwyaeth a’i adolygiad ei hun. Gorfodi rhagweladwy ynghyd â llwybr adfer hysbys yw’r canlyniad sy’n werth ei ddogfennu.