MFA-tsjinst plat: beslút VPN-tagong foar’t it misgiet

VPN-tagong stopt, en de warskôging seit dat de twadde-faktor-tsjinst ûnberikber is. Oft immen noch ferbine kin, is in beliedsfraach dy’t foar de ûnderbrekking beantwurde wurde moatten hie, net ûnderweis. In ûnbeskikbere ferifiearder is gjin bewiis dat in faktor slagge is, en in wegere útdaging is net itselde barren as in ûnberikbere. De hantlieding hjirûnder makket dy ûnderskied ta in skreaune regel dy’t jo testen kinne.

Stap 1: neam de trije útkomsten apart

Skriuw trije tastannen op en wegerje se gear te foegjen: primêre ferifikaasje mislearre, de twadde-faktor-útdaging waard wegere of ferrûn, en de MFA-tsjinst antwurde nea. Elk hat in oare eigner, in oare logrigel en in oar korrekt antwurd. Ien algemien time-outberjocht ferberget yn hokker jo binne, en dy ûndúdlikheid is wat in ûnderbrekking yn in diskusje feroaret. Neam de tastannen yn ’e hantlieding foar’t jo se nedich hawwe.

In wegering betsjut dat de ferifiearder antwurde en nee sei, wat in beliedsútkomst is en gjin beskikberensprobleem. In ferrûne poging betsjut dat de útdaging bestie en nimmen dy op ’e tiid foltôge. In ûnberikbere tsjinst betsjut dat de fraach hielendal net beantwurde waard. Allinne de tredde is in ûnderbrekking.

Stap 2: lês de flatermodus dy’t de proxy echt brûkt

Fyn de ynstelling dy’t gedrach regelet as de tsjinst net berikt wurde kin, en lês dy út ’e rinnende konfiguraasje ynstee fan út in sjabloan. Yn Duo syn RADIUS-proxy binne de dokumintearre failmode-wearden safe en secure, wêrby’t safe in poging allinne tastean as de primêre ferifikaasje slagget, en secure de poging yn dy tastân wegeret.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

De namme safe beskriuwt in beskikberenskar, net in garânsje dat elke talitten sesje in farske twadde faktor hie. Dy sin heart yn it risikoregister, want it is krekt de ruil dy’t de ynstelling makket. Feralgemienje de wearde net nei in oare leveransier, in oare yntegraasje of in oare proxymodus; lês de dokumintaasje fan dat produkt foar syn eigen ekwivalint. In konfiguraasje dy’t fan in leveransiersfoarbyld kopiearre is sûnder dit begryp, is in ferrassing dy’t op ’e folgjende ûnderbrekking wachtet.

Stop as nimmen sizze kin hokker modus aktyf is. De rest fan ’e hantlieding hinget fan dat antwurd ôf.

Stap 3: lit werhellings by de stream passe

Rjochtsje de time-out en it gedrach by werhellings fan ’e gateway ôf op ’e ferifikaasjestream dy’t er oandriuwt. Net koördinearre werhellings meitsje meardere fregen, ferbjusterje it keppeljen fan pogingen en litte it log net sizze hokker resultaat by hokker oanmelding heart. In hiel lange time-out is gjin beskikberensûntwerp; it is langer wachtsje op itselde antwurd.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

De eigen time-out fan it fersyk fan ’e proxy is in aparte grins: in ferifikaasjefersyk dat útjûn en nea foltôge wurdt, wurdt wegere, en dy wegering is gjin ûnderbrekking om fan werom te fallen. Behannelje in wegering, in ûnfoltôge útdaging en in ûnberikbere tsjinst as trije ferskillende ynfierden foar jo besluttabel. Meitsje de tabel dan eksplisyt: hokker tastân lit ta, hokker tastân hâldt, en hokker tastân eskalelet nei in minske.

As twa komponinten beide werhelje, reparearje dan earst it eignerskip fan ’e werhellings. Dûbele fregen binne in symptoom fan twa eigners, net fan in stadige tsjinst.

Stap 4: bestjoer needtagong apart

As needtagong nedich is, jou dy syn eigen berik, identiteit, autorisaasje en auditspoar. It stil útskeakeljen fan MFA foar alle brûkers is gjin needproseduere; it is in permaninte ferswakking mei in ynsidint deroan fêst. De feilichheidseigner keurt de tagongsregel, de sichtberens en it eskalearpaad foarôf goed.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Test de hiele matriks yn in net-produksje-omjouwing: primêre mislearring, bewuste wegering, ferrin fan ’e útdaging en ûnbeskikberens fan ’e tsjinst. Foar elk, registrearje it tagongsresultaat en de reden dy’t logd waard. Meitsje gjin produksje-ûnderbrekking om it konfigurearre gedrach te ûntdekken, en test it needpaad net foar it earst ûnder it ynsidint dêr’t it foar skreaun is. In werstelproseduere dy’t nea rûn hat, is in dokumint, net in kontrôle.

De hantlieding einiget as de trije tastannen neamd binne, de flatermodus út it rinnende systeem lêzen is, werhellings ien eigner hawwe, en needtagong syn eigen goedkarring en resinsje hat. Foarsisber hanthavenjen plus in bekend werstelpaad is de útkomst dy’t it wurdich is te dokumintearjen.