Seirbhís MFA síos: socraigh rochtain VPN sula dteipeann uirthi

Stopann rochtain VPN, agus deir an rabhadh nach féidir seirbhís an dara fachtóra a bhaint amach. Is ceist pholasaí é an féidir le duine ar bith nascadh fós a mbeifí ag súil léi a fhreagairt roimh an gcur isteach, ní lena linn. Ní fianaise í an fhíoraitheoir atá ar fáil nach bhfuil fachtóir tar éis pasáil, agus ní hé an dúshlán a diúltaíodh an teagmhas céanna leis an gceann nach féidir a bhaint amach. Athraíonn an lámhleabhar thíos an t-idirdhealú sin ina riail scríofa ar féidir leat a thástáil.

Céim 1: ainmnigh na trí thoradh ar leith

Scríobh síos trí staid agus diúltaigh iad a chónascadh: theip ar an bpríomhfhíordheimhniú, diúltaíodh don dúshlán dara fachtóra nó chuaigh sé in éag, agus níor fhreagair seirbhís MFA riamh. Tá úinéir difriúil, líne loga difriúil agus freagra ceart difriúil ag gach ceann. Folaíonn teachtaireacht amháin ghinearálta ama a mbeidh tú iontu, agus is í an neamhchinnteacht sin a dhéanann plé ar chur isteach. Ainmnigh na staideanna sa lámhleabhar sula mbeidh siad ag teastáil uait.

Ciallaíonn diúltú gur fhreagair an fhíoraitheoir agus gur dhúirt sé nach ea, rud is toradh polasaí é agus ní fadhb infhaighteachta. Ciallaíonn iarracht atá imithe in éag go raibh an dúshlán ann agus nár chríochnaigh éinne in am é. Ciallaíonn seirbhís nach féidir a bhaint amach nár freagraíodh an cheist ar chor ar bith. Ní hé ach an tríú ceann cur isteach.

Céim 2: léigh an mód teipe a úsáideann an seachfhreastalaí i ndáiríre

Aimsigh an socrú a rialaíonn iompar nuair nach féidir teagmháil a dhéanamh leis an tseirbhís, agus léigh é ón gcumraíocht atá ag rith seachas ó theimpléad. I seachfhreastalaí RADIUS de chuid Duo, is iad na luachanna doiciméadaithe failmode safe agus secure, áit a gceadaíonn safe iarracht amháin nuair a éiríonn leis an bpríomhfhíordheimhniú, agus a ndiúltaíonn secure don iarracht sa riocht sin.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Cuireann an t-ainm safe cur síos ar rogha infhaighteachta, ní ar ráthaíocht go raibh dara fachtóir úr ag gach seisiún a admhaíodh. Baineann an abairt sin leis an gclár riosca, mar is é go díreach an mhalartú a dhéanann an socrú. Ná ginearalaigh an luach chuig soláthraí eile, comhtháthú eile nó mód seachfhreastalaí difriúil; léigh doiciméadú an táirge sin dá choibhéis féin. Is iontas é cumraíocht a cóipeáladh ó shampla díoltóra gan an tuiscint seo, agus é ag fanacht leis an gcéad chur isteach eile.

Stad mura féidir le héinne a rá cén mód atá gníomhach. Braitheann an chuid eile den lámhleabhar ar an bhfreagra sin.

Céim 3: déan na hathiarrachtaí a mheaitseáil leis an sreabhadh

Ailínigh amúchadh agus iompar athrá an gheata leis an sreabhadh fíordheimhniúcháin atá á thiomáint aige. Cruthaíonn athiarrachtaí neamhchomhordaithe iarratais iolracha, cuireann siad meaitseáil iarrachtaí trí chéile agus fágann siad an log gan bheith in ann a rá cén toradh a bhaineann le cén logáil isteach. Ní dearadh infhaighteachta é amúchadh an-fhada; is fanacht níos faide é ar an bhfreagra céanna.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Is teorainn ar leith é amúchadh iarratais an tseachfhreastalaí féin: diúltaítear d’iarratas fíordheimhniúcháin a eisítear agus nach gcríochnaítear riamh, agus ní cur isteach é an diúltú sin ar féidir cúlú uaidh. Caith le diúltú, le dúshlán neamhchríochnaithe agus le seirbhís nach féidir a bhaint amach mar thrí ionchur éagsúla i do thábla cinntí. Ansin déan an tábla soiléir: cén staid a admhaíonn, cén staid a choinníonn agus cén staid a ardaítear chuig duine.

Má dhéanann dhá chomhpháirt athiarracht araon, sásaigh úinéireacht na n-athiarrachtaí ar dtús. Is comhartha de dhá úinéir iad iarratais dhúbailte, ní de sheirbhís mhall.

Céim 4: rialaigh rochtain éigeandála ar leith

Má theastaíonn rochtain éigeandála, tabhair a raon feidhme, a féiniúlacht, a húdarú agus a rian iniúchta féin di. Ní nós imeachta éigeandála é MFA a dhíchumasú go ciúin do gach úsáideoir; is lagú buan é le heachtra ceangailte de. Ceadaíonn úinéir na slándála an riail rochtana, an infheictheacht agus an cosán ardaithe roimh ré.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Tástáil an mhaitrís iomlán i dtimpeallacht nach timpeallacht táirgthe í: príomhtheip, diúltú d’aon ghnó, dul in éag an dúshláin agus neamh-infhaighteacht na seirbhíse. I gcás gach ceann, taifead toradh na rochtana agus an chúis a logáladh. Ná cruthaigh cur isteach táirgthe chun an t-iompar cumraithe a fháil amach, agus ná tástáil an cosán éigeandála don chéad uair le linn na heachtra a scríobhadh é. Is doiciméad é nós imeachta aisghabhála nár ritheadh riamh, ní rialú.

Críochnaíonn an lámhleabhar nuair a ainmnítear na trí staid, nuair a léitear an mód teipe ón gcóras atá ag rith, nuair a bhíonn úinéir amháin ag athiarrachtaí agus nuair a bhíonn a cheadú agus a athbhreithniú féin ag rochtain éigeandála. Is é forfheidhmiú intuartha móide cosán aisghabhála aitheanta an toradh is fiú a dhoiciméadú.