MFA-servo paneas: decidu pri VPN-aliro antaŭ ol ĝi malsukcesos

VPN-aliro haltas, kaj la alarmo diras, ke la dua-faktora servo neatingeblas. Ĉu iu ankoraŭ povas konektiĝi, estas politika demando, kiun oni devis respondi antaŭ la interrompo, ne dum ĝi. Neatingebla kontrolanto ne estas pruvo, ke faktoro pasis, kaj malakceptita defio ne estas la sama evento kiel neatingebla. La gvidilo sube transformas tiun distingon en skribitan regulon, kiun vi povas testi.

Paŝo 1: nomu la tri rezultojn aparte

Skribu tri statojn kaj rifuzu kunfandi ilin: la ĉefa aŭtentigo malsukcesis, la dua-faktora defio estis malakceptita aŭ eksvalidiĝis, kaj la MFA-servo neniam respondis. Ĉiu havas malsaman posedanton, malsaman protokolan linion kaj malsaman ĝustan respondon. Unu ĝenerala tempolima mesaĝo kaŝas, en kiu vi estas, kaj ĝuste tiu malklareco igas interrompon argumento. Nomu la statojn en la gvidilo antaŭ ol vi bezonos ilin.

Malakcepto signifas, ke la kontrolanto respondis kaj diris ne, kio estas politika rezulto kaj ne disponebla problemo. Eksvalidiĝinta provo signifas, ke la defio ekzistis kaj neniu finis ĝin ĝustatempe. Neatingebla servo signifas, ke la demando tute ne estis respondita. Nur la tria estas interrompo.

Paŝo 2: legu la fiaskan reĝimon, kiun la prokurilo efektive uzas

Trovu la agordon, kiu regas la konduton kiam la servo ne estas kontaktebla, kaj legu ĝin el la kuranta agordo anstataŭ el ŝablono. En la RADIUS-prokurilo de Duo, la dokumentitaj failmode-valoroj estas safe kaj secure, kie safe permesas provon nur kiam la ĉefa aŭtentigo sukcesas, kaj secure malakceptas la provon en tiu kondiĉo.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

La nomo safe priskribas elekton pri disponebleco, ne garantion, ke ĉiu akceptita sesio havis freŝan duan faktoron. Tiu frazo apartenas al la riskregistro, ĉar ĝi estas ĝuste la interŝanĝo, kiun la agordo faras. Ne ĝeneraligu la valoron al alia provizanto, alia integriĝo aŭ malsama prokurila reĝimo; legu la dokumentaron de tiu produkto por ĝia propra ekvivalento. Agordo kopiita el ekzemplo de vendisto sen tiu kompreno estas surprizo atendanta la sekvan interrompon.

Haltu se neniu povas diri, kiu reĝimo estas aktiva. La resto de la gvidilo dependas de tiu respondo.

Paŝo 3: kongruigu reklopodojn kun la fluo

Ĝustigu la tempolimon kaj la konduton ĉe reklopodoj de la enirejo al la aŭtentiga fluo, kiun ĝi stiras. Nekunordigitaj reklopodoj kreas plurajn instigojn, konfuzas la parigon de provoj kaj lasas la protokolon nekapabla diri, kiu rezulto apartenas al kiu ensaluto. Tre longa tempolimo ne estas disponebla dezajno; ĝi estas pli longa atendo por la sama respondo.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

La propra petotempolimo de la prokurilo estas aparta limo: aŭtentiga peto, kiu estas eldonita kaj neniam finita, estas malakceptita, kaj tiu malakcepto ne estas interrompo, de kiu oni retiriĝas. Traktu malakcepton, nefinan defion kaj neatingeblan servon kiel tri malsamajn enigojn en vian decidtabuleton. Poste faru la tabulon eksplicita: kiu stato akceptas, kiu stato tenas, kaj kiu stato eskaliĝas al homo.

Se du komponantoj ambaŭ reklopodas, unue riparu la posedantaron de reklopodoj. Duoblaj instigoj estas simptomo de du posedantoj, ne de malrapida servo.

Paŝo 4: regu krizan aliron aparte

Se kriza aliro necesas, donu al ĝi propran amplekson, identecon, rajtigon kaj revizian spuron. Silente malŝalti MFA por ĉiuj uzantoj ne estas kriza proceduro; ĝi estas daŭra malfortigo kun okazaĵo alkroĉita. La sekureca posedanto aprobas anticipe la alirregularon, la videblecon kaj la eskalan vojon.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Testu la tutan matricon en neprodukta medio: ĉefa malsukceso, intenca malakcepto, eksvalidiĝo de defio kaj nedisponebleco de servo. Por ĉiu, registru la alirrezulton kaj la kialon, kiu estis protokolita. Ne kreu produktan interrompon por malkovri la agorditan konduton, kaj ne testu la krizan vojon unuafoje dum la okazaĵo, por kiu ĝi estis skribita. Reakira proceduro, kiu neniam ruliĝis, estas dokumento, ne kontrolo.

La gvidilo finiĝas kiam la tri statoj estas nomitaj, la fiaska reĝimo estas legita el la kuranta sistemo, reklopodoj havas unu posedanton, kaj kriza aliro havas sian propran aprobon kaj revizion. Antaŭvidebla plenumado plus konata reakira vojo estas la rezulto inda je dokumentado.