MFA-palvelu alhaalla: päätä VPN-pääsy ennen vikaa

VPN-pääsy pysähtyy, ja hälytys kertoo, että toisen tekijän palvelu ei ole tavoitettavissa. Se, voiko joku yhä yhdistää, on käytäntökysymys, johon olisi pitänyt vastata ennen katkoa, ei sen aikana. Tavoittamaton vahvistaja ei ole todiste tekijän läpäisystä, eikä hylätty haaste ole sama tapahtuma kuin tavoittamaton. Alla oleva ohje muuttaa tämän eron kirjalliseksi säännöksi, jota voit testata.

Vaihe 1: nimeä kolme lopputulosta erikseen

Kirjaa kolme tilaa ja kieltäydy yhdistämästä niitä: ensisijainen todennus epäonnistui, toisen tekijän haaste hylättiin tai aikakatkesi, eikä MFA-palvelu vastannut koskaan. Jokaisella on eri omistaja, eri lokirivi ja eri oikea vastaus. Yksi yleinen aikakatkaisuviesti kätkee sen, missä niistä olet, ja juuri tämä epäselvyys muuttaa katkon väittelyksi. Nimeä tilat ohjeessa ennen kuin tarvitset niitä.

Hylkäys tarkoittaa, että vahvistaja vastasi ja sanoi ei, mikä on käytännön tulos eikä saatavuusongelma. Vanhentunut yritys tarkoittaa, että haaste oli olemassa eikä kukaan suorittanut sitä ajoissa. Tavoittamaton palvelu tarkoittaa, että kysymykseen ei vastattu lainkaan. Vain kolmas on katko.

Vaihe 2: lue vikatila, jota välityspalvelin todella käyttää

Etsi asetus, joka ohjaa käyttäytymistä, kun palveluun ei saada yhteyttä, ja lue se käynnissä olevasta kokoonpanosta, älä mallipohjasta. Duon RADIUS-välityspalvelimessa dokumentoidut failmode-arvot ovat safe ja secure, jolloin safe sallii yrityksen vain, kun ensisijainen todennus onnistuu, ja secure hylkää yrityksen tässä tilanteessa.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Nimi safe kuvaa saatavuusvalintaa, ei takeita siitä, että jokaisella hyväksytyllä istunnolla oli tuore toinen tekijä. Se lause kuuluu riskirekisteriin, koska se on täsmälleen se vaihtokauppa, jonka asetus tekee. Älä yleistä arvoa toiselle toimittajalle, toiselle integraatiolle tai toiselle välityspalvelintilalle; lue kyseisen tuotteen dokumentaatiosta sen oma vastine. Ilman tätä ymmärrystä toimittajan esimerkistä kopioitu kokoonpano on yllätys, joka odottaa seuraavaa katkoa.

Pysähdy, jos kukaan ei osaa sanoa, mikä tila on aktiivinen. Ohjeen loppuosa riippuu siitä vastauksesta.

Vaihe 3: sovita uudelleenyritykset yhteen kulun kanssa

Kohdista yhdyskäytävän aikakatkaisu ja uudelleenyrityskäyttäytyminen todennuskulkuun, jota se ohjaa. Koordinoimattomat uudelleenyritykset luovat useita kehotteita, sekoittavat yritysten pariutumisen ja jättävät lokin kykenemättömäksi sanomaan, mikä tulos kuuluu millekin kirjautumiselle. Hyvin pitkä aikakatkaisu ei ole saatavuussuunnittelua; se on pidempi odotus samaa vastausta varten.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Välityspalvelimen oma pyyntöaikakatkaisu on erillinen raja: todennuspyyntö, joka lähetetään eikä koskaan valmistu, hylätään, eikä se hylkäys ole katko, josta peräännytään. Käsittele hylkäystä, keskeneräistä haastetta ja tavoittamatonta palvelua kolmena eri syötteenä päätöstaulukkoosi. Tee sitten taulukosta selkeä: mikä tila päästää, mikä tila pitää ja mikä tila eskaloituu ihmiselle.

Jos kaksi komponenttia molemmat uusivat yrityksen, korjaa ensin uudelleenyritysten omistajuus. Kaksinkertaiset kehotteet ovat kahden omistajan oire, eivät hitaan palvelun.

Vaihe 4: hallinnoi hätäpääsyä erikseen

Jos hätäpääsyä tarvitaan, anna sille oma laajuus, identiteetti, valtuutus ja auditointijälki. MFA:n hiljainen poistaminen kaikilta käyttäjiltä ei ole hätämenettely; se on pysyvä heikennys, johon on liitetty tapaus. Turvallisuusomistaja hyväksyy pääsysäännön, näkyvyyden ja eskalaatiopolun etukäteen.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Testaa koko matriisi tuotantoympäristön ulkopuolella: ensisijainen vika, tahallinen hylkäys, haasteen vanheneminen ja palvelun tavoittamattomuus. Kirjaa jokaisesta pääsyn tulos ja lokiin merkitty syy. Älä luo tuotantokatkoa selvittääksesi määritettyä käyttäytymistä äläkä testaa hätäpolkua ensimmäistä kertaa sen tapauksen aikana, jota varten se kirjoitettiin. Palautusmenettely, jota ei ole koskaan ajettu, on asiakirja, ei valvontakeino.

Ohje päättyy, kun kolme tilaa on nimetty, vikatila on luettu käynnissä olevasta järjestelmästä, uudelleenyrityksillä on yksi omistaja ja hätäpääsyllä on oma hyväksyntä ja katselmus. Ennakoitava täytäntöönpano ja tunnettu palautumispolku on tulos, joka kannattaa dokumentoida.