MFA ծառայությունն անջատվել է՝ որոշեք VPN մուտքը մինչ ձախողումը

VPN մուտքը դադարում է, և ծանուցումն ասում է, որ երկրորդ գործոնի ծառայությունն անհասանելի է։ Թե արդյոք ինչ-որ մեկը դեռ կարող է միանալ, քաղաքականության հարց է, որը պետք է պատասխանվեր ընդհատումից առաջ, ոչ թե ընթացքում։ Անհասանելի ստուգողը վկայություն չէ, որ գործոնն անցել է, և մերժված մարտահրավերը նույն իրադարձությունը չէ, ինչ անհասանելին։ Ստորև ներկայացված ուղեցույցը այդ տարբերությունը դարձնում է գրավոր կանոն, որը կարող եք ստուգել։

Քայլ 1. առանձին անվանեք երեք արդյունքները

Գրեք երեք վիճակ և հրաժարվեք դրանք միավորելուց. առաջնային նույնականացումը ձախողվեց, երկրորդ գործոնի մարտահրավերը մերժվեց կամ ժամկետը լրացավ, և MFA ծառայությունը երբեք չպատասխանեց։ Յուրաքանչյուրն ունի տարբեր սեփականատեր, տարբեր մատյանային տող և տարբեր ճիշտ արձագանք։ Մեկ ընդհանուր ժամկետանց հաղորդագրությունը թաքցնում է, թե որում եք գտնվում, և հենց այդ անորոշությունն է կանգը վեճի վերածում։ Անվանեք վիճակները ուղեցույցում նախքան դրանք ձեզ պետք կգան։

Մերժումը նշանակում է, որ ստուգողը պատասխանել է և ասել ոչ, ինչը քաղաքականության արդյունք է, ոչ թե հասանելիության խնդիր։ Ժամկետանց փորձը նշանակում է, որ մարտահրավերը գոյություն ուներ և ոչ ոք այն ժամանակին չավարտեց։ Անհասանելի ծառայությունը նշանակում է, որ հարցին ընդհանրապես չպատասխանվեց։ Միայն երրորդն է կանգ։

Քայլ 2. կարդացեք ձախողման ռեժիմը, որն իրականում օգտագործում է փրոքսին

Գտեք այն կարգավորումը, որը ղեկավարում է վարքը, երբ ծառայությանը հնարավոր չէ կապվել, և կարդացեք այն աշխատող կոնֆիգուրացիայից, ոչ թե ձևանմուշից։ Duo-ի RADIUS փրոքսիում փաստաթղթավորված failmode արժեքներն են safe և secure, որտեղ safe-ը փորձ է թույլատրում միայն այն դեպքում, երբ առաջնային նույնականացումը հաջողվում է, իսկ secure-ը մերժում է փորձը այդ պայմանում։

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe անվանումը նկարագրում է հասանելիության ընտրություն, ոչ թե երաշխիք, որ յուրաքանչյուր ընդունված սեսիա ուներ թարմ երկրորդ գործոն։ Այդ նախադասությունը տեղ ունի ռիսկերի գրանցամատյանում, քանի որ հենց այն փոխանակումն է, որն անում է կարգավորումը։ Մի ընդհանրացրեք արժեքը այլ մատակարարի, այլ ինտեգրացիայի կամ այլ փրոքսի ռեժիմի վրա. կարդացեք այդ ապրանքի փաստաթղթերը դրա սեփական համարժեքի համար։ Այս ընկալումից զուրկ մատակարարի օրինակից պատճենված կոնֆիգուրացիան անակնկալ է, որը սպասում է հաջորդ կանգին։

Կանգ առեք, եթե ոչ ոք չի կարող ասել, թե որ ռեժիմն է ակտիվ։ Ուղեցույցի մնացած մասը կախված է այդ պատասխանից։

Քայլ 3. համաձայնեցրեք կրկնափորձերը հոսքի հետ

Համաձայնեցրեք դարպասի ժամկետը և կրկնափորձի վարքը այն նույնականացման հոսքի հետ, որը նա վարում է։ Չհամակարգված կրկնափորձերը ստեղծում են բազմաթիվ հուշումներ, խառնում փորձերի համապատասխանեցումը և մատյանին թողնում են անկարող ասելու, թե որ արդյունքն է պատկանում որ մուտքին։ Շատ երկար ժամկետը հասանելիության ձևավորում չէ. դա նույն պատասխանի ավելի երկար սպասումն է։

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Փրոքսիի սեփական հարցում-ժամկետը առանձին սահման է. նույնականացման հարցումը, որը տրվում է և երբեք չի ավարտվում, մերժվում է, և այդ մերժումը կանգ չէ, որից հետ կարելի է նահանջել։ Դիտարկեք մերժումը, անավարտ մարտահրավերը և անհասանելի ծառայությունը որպես ձեր որոշումների աղյուսակի երեք տարբեր մուտքեր։ Ապա աղյուսակը դարձրեք հստակ. ո՞ր վիճակն է թույլ տալիս, ո՞ր վիճակն է պահում, և ո՞ր վիճակն է բարձրացվում մարդու։

Եթե երկու բաղադրիչ երկուսն էլ կրկնափորձ են անում, նախ ուղղեք կրկնափորձերի սեփականությունը։ Կրկնվող հուշումները երկու սեփականատերերի ախտանիշ են, ոչ թե դանդաղ ծառայության։

Քայլ 4. արտակարգ մուտքը ղեկավարեք առանձին

Եթե արտակարգ մուտք է պահանջվում, տվեք նրան սեփական շրջանակ, ինքնություն, լիազորություն և աուդիտի հետք։ Բոլոր օգտատերերի համար MFA-ն լուռ անջատելը արտակարգ ընթացակարգ չէ. դա մշտական թուլացում է՝ իրադեպին կցված։ Անվտանգության սեփականատերը նախապես հաստատում է մուտքի կանոնը, տեսանելիությունը և բարձրացման ուղին։

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Փորձարկեք ամբողջ մատրիցը ոչ արտադրական միջավայրում. առաջնային ձախողում, դիտավորյալ մերժում, մարտահրավերի ժամկետի լրացում և ծառայության անհասանելիություն։ Յուրաքանչյուրի համար գրանցեք մուտքի արդյունքը և մատյանում գրված պատճառը։ Մի ստեղծեք արտադրական կանգ՝ կարգավորված վարքը բացահայտելու համար, և մի փորձեք արտակարգ ուղին առաջին անգամ հենց այն իրադեպի ընթացքում, որի համար այն գրվել է։ Երբեք չգործարկված վերականգնման ընթացակարգը փաստաթուղթ է, ոչ թե վերահսկողություն։

Ուղեցույցն ավարտվում է, երբ երեք վիճակները անվանված են, ձախողման ռեժիմը կարդացվել է աշխատող համակարգից, կրկնափորձերն ունեն մեկ սեփականատեր, և արտակարգ մուտքն ունի իր հաստատումն ու վերանայումը։ Կանխատեսելի կիրառումը գումարած հայտնի վերականգնման ուղին այն արդյունքն է, որ արժե փաստաթղթավորել։