MFA-þjónustan niðri: ákveddu VPN-aðgang fyrir bilun

VPN-aðgangur stöðvast, og viðvörunin segir að þjónusta annars þáttar sé óaðgengileg. Hvort einhver getur enn tengst er stefnumál sem átti að svara fyrir truflunina, ekki á meðan henni stendur. Ófáanlegur sannprófandi er ekki sönnun þess að þáttur hafi staðist, og hafnaðri áskorun er ekki sama atburður og óaðgengilegri. Leiðbeiningin hér að neðan gerir þann mun að skrifaðri reglu sem þú getur prófað.

Skref 1: nefndu þrjár niðurstöður hverja fyrir sig

Skrifaðu þrjú stöður og neitaðu að renna þeim saman: aðalsannvottun mistókst, áskorun annars þáttar var hafnað eða rann út, og MFA-þjónustan svaraði aldrei. Hver hefur annan eiganda, aðra loglínu og annað rétt svar. Eitt almennt tímamörk-skilaboð fela hvaða stöðu þú ert í, og það óljósleiki er það sem gerir truflun að rifrildi. Nefndu stöðurnar í leiðbeiningunni áður en þú þarft á þeim að halda.

Höfnun þýðir að sannprófandinn svaraði og sagði nei, sem er stefnuniðurstaða en ekki aðgengisvandamál. Útrunnin tilraun þýðir að áskorunin var til og enginn kláraði hana í tæka tíð. Óaðgengileg þjónusta þýðir að spurningunni var aldrei svarað. Aðeins sú þriðja er truflun.

Skref 2: lestu bilunarhaminn sem milliþjónninn notar í raun

Finndu stillinguna sem stýrir hegðun þegar ekki er hægt að ná sambandi við þjónustuna, og lestu hana úr keyrandi stillingum en ekki úr sniðmáti. Í RADIUS-milliþjóni Duo eru skjalfestu failmode-gildin safe og secure, þar sem safe leyfir aðeins tilraun þegar aðalsannvottun tekst og secure hafnar tilrauninni við það skilyrði.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Nafnið safe lýsir vali um aðgengi, ekki tryggingu fyrir því að hver samþykkt lota hafi haft ferskan annan þátt. Þessi setning á heima í áhættuskrá, því hún er nákvæmlega sú skipting sem stillingin gerir. Alhæfðu gildið ekki yfir á annan veitanda, aðra samþættingu eða annan milliþjónsham; lestu skjöl þeirrar vöru fyrir hennar eigið jafngildi. Stilling sem er afrituð úr dæmi seljanda án þessa skilnings er óvænt atburður sem bíður næstu truflunar.

Stoppaðu ef enginn getur sagt hvaða hamur er virkur. Restin af leiðbeiningunni ræðst af því svari.

Skref 3: láttu endurtilraunir passa við flæðið

Stilltu tímamörk og hegðun endurtilrauna gáttarinnar af sannvottunarflæðinu sem hún keyrir. Ósamstilltar endurtilraunir búa til margar beiðnir, rugla saman pörun tilrauna og láta loggið ekki geta sagt hvaða niðurstaða tilheyrir hvaða innskráningu. Mjög langt tímamark er ekki aðgengishönnun; það er lengri bið eftir sama svari.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Eigið beiðnitímamark milliþjónsins er sérstök mörk: sannvottunarbeiðni sem er send og klárast aldrei er hafnað, og sú höfnun er ekki truflun sem hægt er að hörfa frá. Meðhöndlaðu höfnun, ókláraða áskorun og óaðgengilega þjónustu sem þrjú mismunandi inntak í ákvörðunartöfluna þína. Gerðu töfluna svo skýra: hvaða staða hleypir inn, hvaða staða heldur aftur og hvaða staða er eskalerað til manneskju.

Ef tveir hlutar endurtilrauna báðir, lagaðu fyrst eignarhald endurtilraunanna. Tvöfaldar beiðnir eru einkenni tveggja eigenda, ekki hægrar þjónustu.

Skref 4: stýrðu neyðaraðgangi sér

Ef neyðaraðgangur er nauðsynlegur, gefðu honum eigið umfang, auðkenni, heimild og endurskoðunarslóð. Að slökkva hljóðlega á MFA fyrir alla notendur er ekki neyðarferli; það er varanleg veiking með atburði tengdum. Öryggiseigandinn samþykkir fyrirfram aðgangsregluna, sýnileikann og eskaleringarleiðina.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Prófaðu allt fylkið í umhverfi sem er ekki framleiðsluumhverfi: aðalbilun, viljandi höfnun, útrun áskorunar og óaðgengi þjónustu. Fyrir hvert þeirra skaltu skrá aðgangsniðurstöðuna og ástæðuna sem var logguð. Ekki skapa framleiðslutruflun til að uppgötva stillta hegðun, og ekki prófa neyðarleiðina í fyrsta sinn meðan á atburðinum stendur sem hún var skrifuð fyrir. Endurheimtarferli sem hefur aldrei verið keyrt er skjal, ekki eftirlit.

Leiðbeiningunni lýkur þegar stöðurnar þrjár eru nefndar, bilunarhamurinn lesinn úr keyrandi kerfi, endurtilraunir hafa einn eiganda og neyðaraðgangur hefur eigið samþykki og endurskoðun. Fyrirsjáanleg framfylgni ásamt þekktri endurheimtarleið er niðurstaðan sem er þess virði að skjalfesta.