Sabis ɗin MFA ya faɗi: yanke shawara kan shiga VPN kafin ya gaza

Shiga VPN yana tsayawa, kuma faɗakarwar ta ce ba za a iya samun sabis ɗin ma’auni na biyu ba. Ko wani zai iya haɗawa har yanzu tambaya ce ta manufa da ya kamata a amsa kafin katsewar, ba a lokacinta ba. Mai tabbatarwa da ba ya samuwa ba hujja ba ce cewa ma’auni ya wuce, kuma ƙalubalen da aka ƙi ba shi ne abin da ya faru ɗaya da wanda ba a iya samu ba. Jagorar da ke ƙasa tana mai da wannan bambanci zuwa rubutacciyar ƙa’ida da za ka iya gwadawa.

Mataki 1: ambaci sakamakon uku daban

Rubuta yanayi uku kuma ki yarda a haɗa su: tabbatarwar farko ta gaza, an ƙi ƙalubalen ma’auni na biyu ko lokacinsa ya wuce, kuma sabis ɗin MFA bai taɓa amsawa ba. Kowanne yana da mai shi daban, layin log daban da amsa daidai daban. Saƙon ƙarewar lokaci ɗaya na gama gari yana ɓoye a wanne kake, kuma wannan rashin tabbas ne ke mai da katsewa gardama. Ambaci yanayin a cikin jagora kafin ka buƙace su.

Ƙi yana nufin mai tabbatarwa ya amsa ya ce a’a, wanda sakamakon manufa ne ba matsalar samuwa ba. Gwadawa da lokacinta ya wuce tana nufin ƙalubalen ya kasance kuma babu wanda ya kammala shi a kan lokaci. Sabis da ba a iya samu yana nufin ba a amsa tambayar kwata-kwata ba. Na uku ne kawai katsewa.

Mataki 2: karanta yanayin gazawar da proxy ɗin ke amfani da shi a zahiri

Nemo saitin da ke jagorantar hali lokacin da ba za a iya tuntuɓar sabis ɗin ba, kuma karanta shi daga tsarin da ke gudana ba daga samfuri ba. A cikin proxy ɗin RADIUS na Duo, ƙimomin failmode da aka rubuta su ne safe da secure, inda safe ke ba da izinin gwadawa kawai lokacin da tabbatarwar farko ta yi nasara, kuma secure ke ƙin gwadawar a wannan yanayin.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Sunan safe yana bayyana zaɓin samuwa, ba tabbacin cewa kowane zaman da aka yarda da shi yana da sabon ma’auni na biyu ba. Wannan jumlar ta shiga cikin rajistar haɗari, domin ita ce ainihin cinikayyar da saitin ke yi. Kada ka faɗaɗa ƙimar zuwa wani mai bayarwa, wata haɗin kai ko wani yanayin proxy daban; karanta takardun wannan samfurin don nasa daidai. Ginanniyar da aka kwafa daga misalin mai sayarwa ba tare da wannan fahimta ba abin mamaki ne da ke jiran katsewa ta gaba.

Tsaya idan babu wanda zai iya cewa wane yanayi ne ke aiki. Sauran jagorar sun dogara da wannan amsar.

Mataki 3: daidaita sake gwadawa da tafiyar

Daidaita ƙayyadadden lokaci da halin sake gwadawa na ƙofar da tafiyar tabbatarwar da yake jagoranta. Sake gwadawa marasa daidaituwa suna haifar da tambayoyi da yawa, suna rikitar da daidaita gwadawa kuma suna barin log ɗin ya kasa cewa wane sakamako ya shafi wace shiga. Dogon lokaci mai yawa ba tsarin samuwa ba ne; jira ne mai tsawo don wannan amsa ɗaya.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Ƙayyadadden lokacin buƙatar proxy ɗin kansa iyaka ne daban: buƙatar tabbatarwa da aka bayar kuma ba a taɓa kammalawa ba ana ƙin ta, kuma wannan ƙin ba katsewa ba ne da za a koma daga gare ta. Dauki ƙi, ƙalubalen da ba a kammala ba da sabis ɗin da ba a iya samu a matsayin shigarwa uku daban-daban cikin teburin shawararka. Sannan sanya teburin a bayyane: wane yanayi ne ke yarda, wane yanayi ne ke riƙe, kuma wane yanayi ne ke hawa zuwa mutum.

Idan sassa biyu duka suna sake gwadawa, fara gyara mallakar sake gwadawa. Tambayoyi biyu alama ce ta masu biyu, ba ta sabis mai jinkiri ba.

Mataki 4: gudanar da shiga na gaggawa daban

Idan ana buƙatar shiga na gaggawa, ba shi nasa iyaka, asali, izini da sawun dubawa. Kashe MFA cikin shiru ga duk masu amfani ba tsari na gaggawa ba ne; raunana ne na dindindin tare da abin da ya faru a haɗe. Mai kula da tsaro yana amincewa da ƙa’idar shiga, ganuwa da hanyar hawa a gaba.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Gwada dukan matrix ɗin a cikin muhallin da ba na samarwa ba: gazawar farko, ƙin da gangan, ƙarewar ƙalubale da rashin samun sabis. Ga kowanne, rubuta sakamakon shiga da dalilin da aka rubuta a log. Kada ka haifar da katsewar samarwa don gano halin da aka saita, kuma kada ka gwada hanyar gaggawa a karon farko a lokacin abin da ya faru da aka rubuta ta dominsa. Tsarin murmurewa wanda ba a taɓa gudanar da shi ba takarda ne, ba iko ba.

Jagorar tana ƙarewa lokacin da aka ambaci yanayi uku, an karanta yanayin gazawa daga tsarin da ke gudana, sake gwadawa suna da mai ɗaya, kuma shiga na gaggawa yana da nasa amincewa da bita. Aiwarta da za a iya tsammani tare da sanannen hanyar murmurewa ita ce sakamakon da ya cancanci rubutawa.