MFA zerbitzua erori da: erabaki VPN sarbidea huts egin baino lehen

VPN sarbidea gelditu egiten da, eta alertak dio bigarren faktoreko zerbitzua ez dela irisgarria. Norbaitek oraindik konektatu dezakeen ala ez eten aurretik erantzun beharreko politika-galdera da, ez eten bitartean. Egiaztatzaile ez erabilgarri bat ez da faktore bat gainditu denaren froga, eta baztertutako erronka ez da irisgarria ez denaren gertaera bera. Beheko gidaliburuak bereizketa hori proba dezakezun arau idatziz bihurtzen du.

1. urratsa: izenda itzazu hiru emaitzak bereizita

Idatzi hiru egoera eta uko egizu haiek bat egiteari: lehen autentifikazioak huts egin zuen, bigarren faktoreko erronka ukatu edo iraungi egin zen, eta MFA zerbitzuak ez zuen inoiz erantzun. Bakoitzak jabe desberdin bat, erregistro-lerro desberdin bat eta erantzun zuzen desberdin bat ditu. Denbora-muga orokorreko mezu bakar batek ezkutatzen du zeinetan zauden, eta anbiguotasun horrek bihurtzen du eten bat eztabaida. Izenda itzazu egoerak gidaliburuan behar dituzun aurretik.

Ukazioak esan nahi du egiaztatzaileak erantzun zuela eta ezetz esan zuela, eta hori politika-emaitza da, ez erabilgarritasun-arazoa. Iraungitako saiakerak esan nahi du erronka existitu zela eta inork ez zuela garaiz osatu. Irisgarria ez den zerbitzuak esan nahi du galderari inoiz ez zitzaiola erantzun. Hirugarrena soilik da eten bat.

2. urratsa: irakurri proxyak benetan erabiltzen duen hutsegite-modua

Aurkitu zerbitzuarekin harremanetan jarri ezin denean jokabidea gobernatzen duen ezarpena, eta irakurri exekuzioan dagoen konfiguraziotik, ez txantiloi batetik. Duoren RADIUS proxyean, failmode balio dokumentatuak safe eta secure dira, non safe-k saiakerari uzten dion lehen autentifikazioa arrakastatsua denean soilik, eta secure-k baldintza horretan saiakera ukatzen duen.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe izenak erabilgarritasun-hautua deskribatzen du, ez duela uztatzen onartutako saio bakoitzak bigarren faktore berri bat izan zuenik. Esaldi hori arrisku-erregistroan dago, ezarpenak egiten duen truke zehatza delako. Ez orokortu balioa beste hornitzaile batera, beste integrazio batera edo proxy modu desberdin batera; irakurri produktu horren dokumentazioa bere baliokide propiorako. Ulermen hori gabe hornitzaile-adibide batetik kopiatutako konfigurazioa hurrengo etena itxaroten duen sorpresa da.

Gelditu inork zein modu aktibo dagoen esan ezin badu. Gidaliburuaren gainerakoa erantzun horren mende dago.

3. urratsa: egin berriro saiakerek fluxuarekin bat

Lerrokatu atebidearen denbora-muga eta berriro saiatzeko jokabidea gidatzen duen autentifikazio-fluxuarekin. Koordinatu gabeko berriro saiakerek hainbat eskaera sortzen dituzte, saiakera-parekatzea nahasten dute eta erregistroa ez da gai zein emaitza zein saio-hasierari dagokion esateko. Denbora-muga oso luzea ez da erabilgarritasun-diseinua; erantzun beraren itxaronaldi luzeagoa da.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Proxyaren beraren eskaera-denboraren muga beste muga bat da: igortzen den eta inoiz osatzen ez den autentifikazio-eskaera baztertu egiten da, eta bazterketa hori ez da atzera egiteko eten bat. Hartu ukazioa, amaitu gabeko erronka eta irisgarria ez den zerbitzua zure erabaki-taularen hiru sarrera desberdin gisa. Ondoren egin taula esplizitu: zein egoerak onartzen duen, zein egoerak eusten duen eta zein egoerak pertsonarengana eskalatzen duen.

Bi osagaiek biak berriro saiatzen badute, konpondu lehenik berriro saiakeren jabetza. Eskaera bikoiztuak bi jabeen sintoma dira, ez zerbitzu moteletakoa.

4. urratsa: kudeatu larrialdi-sarbidea bereizita

Larrialdi-sarbidea beharrezkoa bada, eman bere esparrua, identitatea, baimena eta auditoria-arrastoa. MFA isilka desgaitzea erabiltzaile guztientzat ez da larrialdi-prozedura; ahultze iraunkorra da, gorabehera bat erantsita duena. Segurtasun-jabeak aurrez onartzen ditu sarbide-araua, ikusgaitasuna eta eskalada-bidea.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Probatu matrize osoa produkzioz kanpoko ingurune batean: lehen hutsegitea, nahita egindako ukazioa, erronkaren iraungipena eta zerbitzuaren erabilgarritasun-eza. Bakoitzeko, erregistratu sarbidearen emaitza eta erregistratu zen arrazoia. Ez sortu produkzio-etena konfiguratutako jokabidea ezagutzeko, eta ez probatu larrialdi-bidea lehen aldiz idatzi zen gorabeheran zehar. Inoiz exekutatu ez den berreskuratze-prozedura dokumentu bat da, ez kontrol bat.

Gidaliburua amaitzen da hiru egoerak izendatuta daudenean, hutsegite-modua exekuzioan dagoen sistematik irakurri denean, berriro saiakerek jabe bakarra dutenean eta larrialdi-sarbideak bere onespena eta berrikuspena dituenean. Betetze aurreikustea gehi berreskuratze-bide ezagun bat dokumentatzeko merezi duen emaitza da.