Υπηρεσία MFA εκτός λειτουργίας: αποφασίστε την πρόσβαση VPN πριν αποτύχει

Η πρόσβαση VPN σταματά και η ειδοποίηση λέει ότι η υπηρεσία δεύτερου παράγοντα δεν είναι προσβάσιμη. Το αν μπορεί ακόμη κάποιος να συνδεθεί είναι ερώτημα πολιτικής που έπρεπε να έχει απαντηθεί πριν από τη διακοπή, όχι κατά τη διάρκειά της. Ένας μη διαθέσιμος επαληθευτής δεν αποτελεί απόδειξη ότι ένας παράγοντας πέρασε, και μια απορριφθείσα πρόκληση δεν είναι το ίδιο γεγονός με μια μη προσβάσιμη. Ο οδηγός παρακάτω μετατρέπει αυτή τη διάκριση σε γραπτό κανόνα που μπορείτε να δοκιμάσετε.

Βήμα 1: ονομάστε τα τρία αποτελέσματα χωριστά

Γράψτε τρεις καταστάσεις και αρνηθείτε να τις συγχωνεύσετε: η κύρια ταυτοποίηση απέτυχε, η πρόκληση δεύτερου παράγοντα απορρίφθηκε ή έληξε, και η υπηρεσία MFA δεν απάντησε ποτέ. Κάθε μία έχει διαφορετικό υπεύθυνο, διαφορετική γραμμή αρχείου και διαφορετική σωστή αντίδραση. Ένα μόνο γενικό μήνυμα λήξης κρύβει σε ποια βρίσκεστε, και αυτή η ασάφεια είναι που μετατρέπει μια διακοπή σε διαφωνία. Ονομάστε τις καταστάσεις στον οδηγό πριν τις χρειαστείτε.

Η απόρριψη σημαίνει ότι ο επαληθευτής απάντησε και είπε όχι, που είναι αποτέλεσμα πολιτικής και όχι πρόβλημα διαθεσιμότητας. Μια ληγμένη προσπάθεια σημαίνει ότι η πρόκληση υπήρχε και κανείς δεν την ολοκλήρωσε εγκαίρως. Μια μη προσβάσιμη υπηρεσία σημαίνει ότι η ερώτηση δεν απαντήθηκε καθόλου. Μόνο η τρίτη είναι διακοπή.

Βήμα 2: διαβάστε τη λειτουργία αστοχίας που χρησιμοποιεί πραγματικά ο διαμεσολαβητής

Βρείτε τη ρύθμιση που διέπει τη συμπεριφορά όταν η υπηρεσία δεν μπορεί να προσεγγιστεί και διαβάστε την από την τρέχουσα διαμόρφωση και όχι από πρότυπο. Στον διαμεσολαβητή RADIUS του Duo, οι τεκμηριωμένες τιμές failmode είναι safe και secure, όπου το safe επιτρέπει μια προσπάθεια μόνο όταν η κύρια ταυτοποίηση πετύχει, και το secure απορρίπτει την προσπάθεια σε αυτή τη συνθήκη.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Το όνομα safe περιγράφει μια επιλογή διαθεσιμότητας, όχι εγγύηση ότι κάθε συνεδρία που έγινε δεκτή είχε νέο δεύτερο παράγοντα. Αυτή η πρόταση ανήκει στο μητρώο κινδύνου, γιατί είναι ακριβώς η ανταλλαγή που κάνει η ρύθμιση. Μην γενικεύετε την τιμή σε άλλον πάροχο, άλλη ενσωμάτωση ή διαφορετική λειτουργία διαμεσολαβητή· διαβάστε την τεκμηρίωση εκείνου του προϊόντος για το δικό του ισοδύναμο. Μια διαμόρφωση αντιγραμμένη από παράδειγμα προμηθευτή χωρίς αυτή την κατανόηση είναι μια έκπληξη που περιμένει την επόμενη διακοπή.

Σταματήστε αν κανείς δεν μπορεί να πει ποια λειτουργία είναι ενεργή. Το υπόλοιπο του οδηγού εξαρτάται από αυτή την απάντηση.

Βήμα 3: κάντε τις επαναλήψεις να ταιριάζουν με τη ροή

Ευθυγραμμίστε το χρονικό όριο και τη συμπεριφορά επανάληψης της πύλης με τη ροή ταυτοποίησης που οδηγεί. Οι ασυντόνιστες επαναλήψεις δημιουργούν πολλαπλές προτροπές, μπερδεύουν την αντιστοίχιση προσπαθειών και αφήνουν το αρχείο ανίκανο να πει ποιο αποτέλεσμα ανήκει σε ποια σύνδεση. Ένα πολύ μεγάλο χρονικό όριο δεν είναι σχεδιασμός διαθεσιμότητας· είναι μεγαλύτερη αναμονή για την ίδια απάντηση.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Το δικό του χρονικό όριο αιτήματος του διαμεσολαβητή είναι ξεχωριστό όριο: ένα αίτημα ταυτοποίησης που εκδίδεται και δεν ολοκληρώνεται ποτέ απορρίπτεται, και αυτή η απόρριψη δεν είναι διακοπή από την οποία υποχωρείτε. Αντιμετωπίστε μια απόρριψη, μια ημιτελή πρόκληση και μια μη προσβάσιμη υπηρεσία ως τρεις διαφορετικές εισόδους στον πίνακα αποφάσεών σας. Έπειτα κάντε τον πίνακα ρητό: ποια κατάσταση δέχεται, ποια κατάσταση κρατά και ποια κατάσταση κλιμακώνεται σε άνθρωπο.

Αν δύο στοιχεία επαναλαμβάνουν και τα δύο, διορθώστε πρώτα την κυριότητα των επαναλήψεων. Οι διπλές προτροπές είναι σύμπτωμα δύο υπευθύνων, όχι αργής υπηρεσίας.

Βήμα 4: διαχειριστείτε την πρόσβαση έκτακτης ανάγκης χωριστά

Αν απαιτείται πρόσβαση έκτακτης ανάγκης, δώστε της δικό της πεδίο, ταυτότητα, εξουσιοδότηση και ίχνος ελέγχου. Η σιωπηρή απενεργοποίηση του MFA για όλους τους χρήστες δεν είναι διαδικασία έκτακτης ανάγκης· είναι μόνιμη αποδυνάμωση με ένα περιστατικό προσκολλημένο. Ο υπεύθυνος ασφαλείας εγκρίνει εκ των προτέρων τον κανόνα πρόσβασης, την ορατότητα και τη διαδρομή κλιμάκωσης.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Δοκιμάστε ολόκληρο τον πίνακα σε περιβάλλον εκτός παραγωγής: αποτυχία κύριας ταυτοποίησης, σκόπιμη απόρριψη, λήξη πρόκλησης και μη διαθεσιμότητα υπηρεσίας. Για καθένα, καταγράψτε το αποτέλεσμα πρόσβασης και τον λόγο που γράφτηκε στο αρχείο. Μην δημιουργήσετε διακοπή στην παραγωγή για να ανακαλύψετε τη διαμορφωμένη συμπεριφορά, και μην δοκιμάσετε τη διαδρομή έκτακτης ανάγκης για πρώτη φορά κατά τη διάρκεια του περιστατικού για το οποίο γράφτηκε. Μια διαδικασία ανάκτησης που δεν εκτελέστηκε ποτέ είναι έγγραφο, όχι έλεγχος.

Ο οδηγός τελειώνει όταν οι τρεις καταστάσεις έχουν ονομαστεί, η λειτουργία αστοχίας έχει διαβαστεί από το τρέχον σύστημα, οι επαναλήψεις έχουν έναν υπεύθυνο και η πρόσβαση έκτακτης ανάγκης έχει τη δική της έγκριση και ανασκόπηση. Η προβλέψιμη επιβολή μαζί με μια γνωστή διαδρομή ανάκτησης είναι το αποτέλεσμα που αξίζει να τεκμηριωθεί.