MFA қызметі істен шықты: VPN рұқсатын алдын ала шешіңіз

VPN рұқсаты тоқтайды, ал ескерту екінші фактор қызметіне қол жеткізу мүмкін еместігін айтады. Біреудің әлі қосыла алатыны — үзілістен бұрын жауап берілуі тиіс саясат мәселесі, үзіліс кезінде емес. Қолжетімсіз тексеруші фактордың өткеніне дәлел емес, ал қабылданбаған шақыру қолжетімсіз шақырумен бір оқиға емес. Төмендегі нұсқаулық бұл айырмашылықты тексере алатын жазбаша ережеге айналдырады.

1-қадам: үш нәтижені бөлек атаңыз

Үш күйді жазып, оларды біріктіруден бас тартыңыз: бастапқы аутентификация сәтсіз аяқталды, екінші фактор шақыруы қабылданбады немесе мерзімі өтті, және MFA қызметі ешқашан жауап бермеді. Әрқайсысының өз иесі, өз журнал жолы және өз дұрыс жауабы бар. Бір жалпы тайм-аут хабарламасы қайсысында екеніңізді жасырады, ал дәл сол белгісіздік үзілісті дауға айналдырады. Күйлерді қажет болмай тұрып нұсқаулықта атаңыз.

Бас тарту тексеруші жауап беріп, жоқ дегенін білдіреді, бұл саясат нәтижесі, қолжетімділік мәселесі емес. Мерзімі өткен әрекет шақыру болғанын және оны ешкім уақытында аяқтамағанын білдіреді. Қолжетімсіз қызмет сұраққа мүлдем жауап берілмегенін білдіреді. Үзіліс — тек үшіншісі.

2-қадам: прокси шын мәнінде қолданатын ақау режимін оқыңыз

Қызметпен байланысу мүмкін болмаған кезде мінезді басқаратын параметрді тауып, оны үлгіден емес, жұмыс істеп тұрған конфигурациядан оқыңыз. Duo-ның RADIUS проксиінде құжатталған failmode мәндері — safe және secure, мұнда safe тек бастапқы аутентификация сәтті болғанда әрекетке жол береді, ал secure осы шартта әрекетті қабылдамайды.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe атауы қолжетімділік таңдауын сипаттайды, әр рұқсат етілген сессияның жаңа екінші факторы болғанына кепілдік емес. Бұл сөйлем тәуекелдер тізіліміне жатады, өйткені бұл параметр жасайтын дәл сол айырбас. Мәнді басқа провайдерге, басқа интеграцияға немесе өзге прокси режиміне жалпыламаңыз; сол өнімнің өз баламасы үшін оның құжаттамасын оқыңыз. Осы түсініксіз жеткізуші үлгісінен көшірілген конфигурация — келесі үзілісті күтіп тұрған тосынсый.

Егер ешкім қай режимнің белсенді екенін айта алмаса, тоқтаңыз. Нұсқаулықтың қалғаны сол жауапқа тәуелді.

3-қадам: қайталау әрекеттерін ағынға сәйкестендіріңіз

Шлюздің тайм-ауты мен қайталау әрекетінің мінезін ол басқаратын аутентификация ағынына сәйкестендіріңіз. Үйлестірілмеген қайталау әрекеттері бірнеше сұраныс тудырады, әрекеттерді салыстыруды шатастырады және журналға қай нәтиженің қай кіруге тиесілі екенін айта алмайтын күйде қалдырады. Өте ұзақ тайм-аут қолжетімділік дизайны емес; ол сол жауапты ұзағырақ күту.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Проксидің өз сұраныс тайм-ауты — бөлек шек: берілген және ешқашан аяқталмаған аутентификация сұранысы қабылданбайды, және бұл бас тарту кері шегінетін үзіліс емес. Бас тартуды, аяқталмаған шақыруды және қолжетімсіз қызметті шешім кестеңізге үш түрлі кіріс ретінде қарастырыңыз. Содан кейін кестені айқын етіңіз: қай күй жібереді, қай күй ұстап тұрады және қай күй адамға эскалацияланады.

Егер екі компонент те қайталаса, алдымен қайталау әрекеттерінің иелігін түзетіңіз. Қайталанатын сұраныстар — екі иеге тән белгі, баяу қызметке емес.

4-қадам: төтенше рұқсатты бөлек басқарыңыз

Егер төтенше рұқсат қажет болса, оған өз ауқымын, сәйкестігін, өкілеттігін және аудит ізін беріңіз. Барлық пайдаланушылар үшін MFA-ны үнсіз өшіру төтенше рәсім емес; бұл оқиғаға байланған тұрақты әлсірету. Қауіпсіздік иесі рұқсат ережесін, көрінуді және эскалация жолын алдын ала мақұлдайды.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Бүкіл матрицаны өндірістік емес ортада тексеріңіз: бастапқы сәтсіздік, әдейі бас тарту, шақыру мерзімінің өтуі және қызметтің қолжетімсіздігі. Әрқайсысы үшін рұқсат нәтижесін және журналға жазылған себепті тіркеңіз. Конфигурацияланған мінезді анықтау үшін өндірістік үзіліс жасамаңыз және төтенше жолды ол үшін жазылған оқиға кезінде бірінші рет тексермеңіз. Ешқашан іске қосылмаған қалпына келтіру рәсімі — құжат, бақылау емес.

Нұсқаулық үш күй аталғанда, ақау режимі жұмыс істеп тұрған жүйеден оқылғанда, қайталау әрекеттерінің бір иесі болғанда және төтенше рұқсаттың өз мақұлдауы мен қарауы болғанда аяқталады. Болжамды орындау және белгілі қалпына келтіру жолы — құжаттауға тұрарлық нәтиже.