MFA სერვისი გათიშულია: VPN-ზე შესვლა წინასწარ გადაწყვიტეთ

VPN-ზე შესვლა ჩერდება და შეტყობინება ამბობს, რომ მეორე ფაქტორის სერვისი მიუწვდომელია. შეუძლია თუ არა ვინმეს ჯერ კიდევ დაკავშირება, ეს პოლიტიკის საკითხია, რომელზეც პასუხი შეფერხებამდე უნდა გაცემულიყო და არა მის დროს. მიუწვდომელი დამამოწმებელი არ არის მტკიცებულება იმისა, რომ ფაქტორი გავიდა, და უარყოფილი გამოწვევა არ არის იგივე მოვლენა, რაც მიუწვდომელი. ქვემოთ მოცემული სახელმძღვანელო ამ განსხვავებას წერილობით წესად აქცევს, რომელიც შეგიძლიათ შეამოწმოთ.

ნაბიჯი 1: დაასახელეთ სამი შედეგი ცალ-ცალკე

ჩაწერეთ სამი მდგომარეობა და უარი თქვით მათ გაერთიანებაზე: პირველადი ავთენტიფიკაცია ვერ შესრულდა, მეორე ფაქტორის გამოწვევა უარყოფილია ან ვადა გაუვიდა, და MFA სერვისმა არასოდეს უპასუხა. თითოეულს განსხვავებული მფლობელი, განსხვავებული ჟურნალის ხაზი და განსხვავებული სწორი პასუხი აქვს. ერთი ზოგადი დროის ამოწურვის შეტყობინება მალავს, რომელში ხართ, და სწორედ ეს გაურკვევლობა აქცევს შეფერხებას კამათად. დაასახელეთ მდგომარეობები სახელმძღვანელოში მანამ, სანამ დაგჭირდებათ.

უარი ნიშნავს, რომ დამამოწმებელმა უპასუხა და თქვა არა, რაც პოლიტიკის შედეგია და არა ხელმისაწვდომობის პრობლემა. ვადაგასული ცდა ნიშნავს, რომ გამოწვევა არსებობდა და ვერავინ დაასრულა ის დროულად. მიუწვდომელი სერვისი ნიშნავს, რომ კითხვას საერთოდ არ გაეცა პასუხი. მხოლოდ მესამეა შეფერხება.

ნაბიჯი 2: წაიკითხეთ წარუმატებლობის რეჟიმი, რომელსაც პროქსი რეალურად იყენებს

იპოვეთ პარამეტრი, რომელიც მართავს ქცევას, როცა სერვისთან დაკავშირება შეუძლებელია, და წაიკითხეთ ის მოქმედი კონფიგურაციიდან და არა შაბლონიდან. Duo-ს RADIUS პროქსიში დოკუმენტირებული failmode მნიშვნელობები არის safe და secure, სადაც safe ცდას მხოლოდ მაშინ უშვებს, როცა პირველადი ავთენტიფიკაცია წარმატებულია, ხოლო secure ცდას ამ პირობით უარყოფს.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

სახელი safe ხელმისაწვდომობის არჩევანს აღწერს და არა გარანტიას, რომ ყველა დაშვებულ სესიას ახალი მეორე ფაქტორი ჰქონდა. ეს წინადადება რისკების რეესტრში უნდა იყოს, რადგან სწორედ ის გაცვლაა, რომელსაც პარამეტრი აკეთებს. ნუ განაზოგადებთ მნიშვნელობას სხვა მომწოდებელზე, სხვა ინტეგრაციაზე ან სხვა პროქსის რეჟიმზე; წაიკითხეთ იმ პროდუქტის დოკუმენტაცია მისი საკუთარი ეკვივალენტისთვის. ამ გაგების გარეშე მომწოდებლის მაგალითიდან კოპირებული კონფიგურაცია სიურპრიზია, რომელიც შემდეგ შეფერხებას ელოდება.

გაჩერდით, თუ ვერავინ იტყვის, რომელი რეჟიმია აქტიური. სახელმძღვანელოს დარჩენილი ნაწილი ამ პასუხზეა დამოკიდებული.

ნაბიჯი 3: შეუსაბამეთ განმეორებითი ცდები ნაკადს

შეუსაბამეთ კარიბჭის დროის ამოწურვა და განმეორებითი ცდის ქცევა იმ ავთენტიფიკაციის ნაკადს, რომელსაც ის მართავს. არაკოორდინირებული განმეორებითი ცდები ქმნის მრავალ მოთხოვნას, ურევს ცდების შედარებას და ჟურნალს ტოვებს უუნაროდ თქვას, რომელი შედეგი რომელ შესვლას ეკუთვნის. ძალიან გრძელი დროის ამოწურვა ხელმისაწვდომობის დიზაინი არ არის; ეს იგივე პასუხის უფრო ხანგრძლივი ლოდინია.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

პროქსის საკუთარი მოთხოვნის დროის ამოწურვა ცალკე ზღვარია: ავთენტიფიკაციის მოთხოვნა, რომელიც გაიცემა და არასოდეს სრულდება, უარყოფილია, და ეს უარი არ არის შეფერხება, საიდანაც უკან იხევენ. განიხილეთ უარი, დაუსრულებელი გამოწვევა და მიუწვდომელი სერვისი, როგორც თქვენი გადაწყვეტილების ცხრილის სამი განსხვავებული შეყვანა. შემდეგ ცხრილი გახადეთ მკაფიო: რომელი მდგომარეობა უშვებს, რომელი აკავებს და რომელი ესკალდება ადამიანთან.

თუ ორი კომპონენტი ორივე იმეორებს ცდას, ჯერ გაასწორეთ განმეორებითი ცდების მფლობელობა. დუბლირებული მოთხოვნები ორი მფლობელის სიმპტომია და არა ნელი სერვისის.

ნაბიჯი 4: მართეთ საგანგებო წვდომა ცალკე

თუ საგანგებო წვდომა საჭიროა, მიეცით მას საკუთარი არე, იდენტობა, უფლებამოსილება და აუდიტის კვალი. ყველა მომხმარებლისთვის MFA-ს ჩუმად გამორთვა საგანგებო პროცედურა არ არის; ეს მუდმივი შესუსტებაა ინციდენტით. უსაფრთხოების მფლობელი წინასწარ ამტკიცებს შესვლის წესს, ხილვადობას და ესკალაციის გზას.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

შეამოწმეთ მთელი მატრიცა არასაწარმოო გარემოში: პირველადი წარუმატებლობა, განზრახ უარი, გამოწვევის ვადის გასვლა და სერვისის მიუწვდომლობა. თითოეულისთვის ჩაწერეთ შესვლის შედეგი და ჟურნალში დაფიქსირებული მიზეზი. ნუ შექმნით საწარმოო შეფერხებას კონფიგურირებული ქცევის გასაგებად და ნუ შეამოწმებთ საგანგებო გზას პირველად იმ ინციდენტის დროს, რომლისთვისაც დაიწერა. არასოდეს გაშვებული აღდგენის პროცედურა დოკუმენტია და არა კონტროლი.

სახელმძღვანელო მთავრდება მაშინ, როცა სამი მდგომარეობა დასახელებულია, წარუმატებლობის რეჟიმი მოქმედი სისტემიდან წაკითხულია, განმეორებით ცდებს ერთი მფლობელი ჰყავს და საგანგებო წვდომას საკუთარი დამტკიცება და გადახედვა აქვს. პროგნოზირებადი აღსრულება პლუს ცნობილი აღდგენის გზა არის შედეგი, რომლის დოკუმენტირებაც ღირს.