MFA સેવા બંધ: નિષ્ફળ થાય તે પહેલાં VPN પ્રવેશ નક્કી કરો

VPN પ્રવેશ અટકી જાય છે, અને ચેતવણી કહે છે કે બીજા પરિબળની સેવા પહોંચી શકાય તેવી નથી. કોઈ હજી કનેક્ટ થઈ શકે છે કે નહીં એ નીતિનો પ્રશ્ન છે જેનો જવાબ વિક્ષેપ પહેલાં આપવો જોઈતો હતો, વિક્ષેપ દરમિયાન નહીં. ઉપલબ્ધ ન હોય તેવો ચકાસનાર એ પુરાવો નથી કે પરિબળ પાસ થયું, અને નકારાયેલો પડકાર પહોંચી ન શકાય તેવા પડકાર જેવી જ ઘટના નથી. નીચેનું માર્ગદર્શિકા એ ભેદને લેખિત નિયમમાં ફેરવે છે જે તમે ચકાસી શકો છો.

પગલું 1: ત્રણ પરિણામોને અલગ રીતે નામ આપો

ત્રણ સ્થિતિઓ લખો અને તેમને ભેગી કરવાનો ઇનકાર કરો: પ્રાથમિક પ્રમાણીકરણ નિષ્ફળ ગયું, બીજા પરિબળનો પડકાર નકારાયો અથવા સમય વીતી ગયો, અને MFA સેવાએ ક્યારેય જવાબ આપ્યો નહીં. દરેકનો અલગ માલિક, અલગ લોગ લાઇન અને અલગ સાચો પ્રતિભાવ છે. એક સામાન્ય સમય-સમાપ્તિ સંદેશ છુપાવે છે કે તમે કઈ સ્થિતિમાં છો, અને એ અસ્પષ્ટતા જ વિક્ષેપને ચર્ચામાં ફેરવે છે. જરૂર પડે તે પહેલાં માર્ગદર્શિકામાં સ્થિતિઓને નામ આપો.

નકાર એટલે ચકાસનારે જવાબ આપ્યો અને ના કહ્યું, જે ઉપલબ્ધતાની સમસ્યા નહીં પણ નીતિનું પરિણામ છે. સમય વીતી ગયેલો પ્રયાસ એટલે પડકાર હતો અને કોઈએ તેને સમયસર પૂરો કર્યો નહીં. પહોંચી ન શકાય તેવી સેવા એટલે પ્રશ્નનો જવાબ જ આપવામાં આવ્યો નહીં. ફક્ત ત્રીજી જ વિક્ષેપ છે.

પગલું 2: પ્રોક્સી ખરેખર કયો નિષ્ફળતા-મોડ વાપરે છે તે વાંચો

જ્યારે સેવાનો સંપર્ક કરી શકાતો નથી ત્યારે વર્તન નિયંત્રિત કરતું સેટિંગ શોધો, અને તેને ટેમ્પલેટમાંથી નહીં, ચાલુ કન્ફિગરેશનમાંથી વાંચો. Duo ના RADIUS પ્રોક્સીમાં દસ્તાવેજીકૃત failmode મૂલ્યો safe અને secure છે, જ્યાં safe ફક્ત ત્યારે જ પ્રયાસની પરવાનગી આપે છે જ્યારે પ્રાથમિક પ્રમાણીકરણ સફળ થાય, અને secure તે સ્થિતિમાં પ્રયાસ નકારે છે.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe નામ ઉપલબ્ધતાની પસંદગી વર્ણવે છે, એ બાંયધરી નહીં કે દરેક સ્વીકૃત સત્રમાં નવું બીજું પરિબળ હતું. એ વાક્ય જોખમ-રજિસ્ટરમાં આવે છે, કારણ કે સેટિંગ બરાબર એ જ વેપાર કરે છે. મૂલ્યને બીજા પ્રદાતા, બીજા એકીકરણ કે અલગ પ્રોક્સી મોડ સુધી સામાન્યીકૃત કરશો નહીં; તે ઉત્પાદનના પોતાના સમકક્ષ માટે તેનું દસ્તાવેજીકરણ વાંચો. આ સમજ વિના વેચાણકર્તાના ઉદાહરણમાંથી કૉપી કરેલું કન્ફિગરેશન આગલા વિક્ષેપની રાહ જોતું આશ્ચર્ય છે.

જો કોઈ કહી શકે નહીં કે કયો મોડ સક્રિય છે તો થોભો. બાકીનું માર્ગદર્શિકા તે જવાબ પર આધાર રાખે છે.

પગલું 3: ફરી પ્રયાસોને પ્રવાહ સાથે મેળવો

ગેટવેની સમયમર્યાદા અને ફરી પ્રયાસનું વર્તન તે જે પ્રમાણીકરણ પ્રવાહ ચલાવે છે તેની સાથે ગોઠવો. અસંકલિત ફરી પ્રયાસો ઘણી પ્રોમ્પ્ટ બનાવે છે, પ્રયાસ-મેળને ગૂંચવે છે અને લોગને એ કહેવામાં અસમર્થ છોડે છે કે કયું પરિણામ કઈ લોગિનનું છે. ખૂબ લાંબી સમયમર્યાદા ઉપલબ્ધતાની ડિઝાઇન નથી; તે એ જ જવાબ માટે લાંબી રાહ છે.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

પ્રોક્સીની પોતાની વિનંતી-સમયમર્યાદા અલગ મર્યાદા છે: જે પ્રમાણીકરણ વિનંતી જારી થાય છે અને ક્યારેય પૂરી થતી નથી તે નકારાય છે, અને એ નકાર એ વિક્ષેપ નથી જેમાંથી પાછા ખસી શકાય. નકાર, અધૂરો પડકાર અને પહોંચી ન શકાય તેવી સેવાને તમારા નિર્ણય-કોષ્ટકના ત્રણ અલગ ઇનપુટ તરીકે લો. પછી કોષ્ટકને સ્પષ્ટ કરો: કઈ સ્થિતિ પ્રવેશ આપે છે, કઈ સ્થિતિ રોકે છે અને કઈ સ્થિતિ માણસ સુધી એસ્કેલેટ થાય છે.

જો બે ઘટકો બંને ફરી પ્રયાસ કરે, તો પહેલાં ફરી પ્રયાસની માલિકી સુધારો. નકલી પ્રોમ્પ્ટ બે માલિકોની નિશાની છે, ધીમી સેવાની નહીં.

પગલું 4: કટોકટી પ્રવેશ અલગથી સંચાલિત કરો

જો કટોકટી પ્રવેશ જરૂરી હોય, તો તેને પોતાનું કાર્યક્ષેત્ર, ઓળખ, અધિકૃતિ અને ઓડિટ ટ્રેલ આપો. બધા વપરાશકર્તાઓ માટે MFA ચુપચાપ બંધ કરવું કટોકટી પ્રક્રિયા નથી; તે ઘટના સાથે જોડાયેલું કાયમી નબળું કરવું છે. સુરક્ષા માલિક પ્રવેશ નિયમ, દૃશ્યતા અને એસ્કેલેશન માર્ગને અગાઉથી મંજૂરી આપે છે.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

બિન-ઉત્પાદન વાતાવરણમાં આખું મેટ્રિક્સ ચકાસો: પ્રાથમિક નિષ્ફળતા, જાણી જોઈને નકાર, પડકારની સમાવધિ પૂરી થવી અને સેવાની અનુપલબ્ધતા. દરેક માટે, પ્રવેશ પરિણામ અને લોગમાં લખાયેલું કારણ નોંધો. ગોઠવાયેલું વર્તન શોધવા માટે ઉત્પાદન વિક્ષેપ ઊભો કરશો નહીં, અને જે ઘટના માટે કટોકટી માર્ગ લખાયો છે તે દરમિયાન પહેલી વાર તેને ચકાસશો નહીં. ક્યારેય ન ચાલ્યું હોય તેવું પુનઃપ્રાપ્તિ પ્રક્રિયા દસ્તાવેજ છે, નિયંત્રણ નથી.

માર્ગદર્શિકા ત્યારે પૂરું થાય છે જ્યારે ત્રણ સ્થિતિઓને નામ અપાયું હોય, નિષ્ફળતા-મોડ ચાલુ સિસ્ટમમાંથી વાંચ્યો હોય, ફરી પ્રયાસોનો એક માલિક હોય, અને કટોકટી પ્રવેશની પોતાની મંજૂરી અને સમીક્ષા હોય. અનુમાનિત અમલ સાથે જાણીતો પુનઃપ્રાપ્તિ માર્ગ એ જ પરિણામ છે જે દસ્તાવેજ કરવા યોગ્ય છે.