MFA кызматы иштебей калды: VPN кирүүнү алдын ала чечиңиз

VPN кирүү токтойт, ал эми эскертүү экинчи фактор кызматына жетүү мүмкүн эместигин айтат. Бирөө дагы эле туташа алабы — бул үзгүлтүктөн мурун жооп берилиши керек болгон саясат маселеси, үзгүлтүк учурунда эмес. Жеткиликсиз текшерүүчү фактор өткөндүгүнө далил эмес, ал эми четке кагылган чакырык жеткиликсиз чакырык менен бир окуя эмес. Төмөнкү жетекчилик бул айырманы текшере алган жазуу эрежесине айландырат.

1-кадам: үч жыйынтыкты өз-өзүнчө атаңыз

Үч абалды жазып, аларды бириктирүүдөн баш тартыңыз: баштапкы аутентификация ишке ашкан жок, экинчи фактор чакырыгы четке кагылды же мөөнөтү өттү, жана MFA кызматы эч качан жооп берген жок. Ар биринин өз ээси, өз журнал сабы жана өз туура жообу бар. Бир жалпы тайм-аут билдирүүсү кайсында экениңизди жашырат, ошол эле белгисиздик үзгүлтүктү талашка айландырат. Абалдарды керек болоордон мурун жетекчиликте атаңыз.

Баш тартуу текшерүүчү жооп берип, жок дегенин билдирет, бул саясаттын жыйынтыгы, жеткиликтүүлүк маселеси эмес. Мөөнөтү өткөн аракет чакырык болгонун жана аны эч ким убагында бүтүрбөгөнүн билдирет. Жеткиликсиз кызмат суроого такыр жооп берилбегенин билдирет. Үзгүлтүк — үчүнчүсү гана.

2-кадам: прокси чындыгында колдонгон бузулуу режимин окуңуз

Кызмат менен байланышуу мүмкүн болбогондо жүрүм-турумду башкаран жөндөөнү таап, аны үлгүдөн эмес, иштеп жаткан конфигурациядан окуңуз. Duo RADIUS проксиинде документтелген failmode маанилери — safe жана secure, мында safe баштапкы аутентификация ийгиликтүү болгондо гана аракетке жол берет, ал эми secure ошол шартта аракетти четке кагат.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe аталышы жеткиликтүүлүк тандоосун сүрөттөйт, ар бир уруксат берилген сессияда жаңы экинчи фактор болгонуна кепилдик эмес. Бул сүйлөм тобокелдиктер реестрине кирет, анткени бул жөндөө жасаган так ошол алмашуу. Маанини башка провайдерге, башка интеграцияга же башка прокси режимине жалпылабаңыз; ошол продукттун өзүнүн эквиваленти үчүн анын документациясын окуңуз. Бул түшүнүксүз жеткирүүчүнүн үлгүсүнөн көчүрүлгөн конфигурация — кийинки үзгүлтүктү күткөн таң калыш.

Эгер эч ким кайсы режим активдүү экенин айта албаса, токтоңуз. Жетекчиликтин калганы ошол жоопко көз каранды.

3-кадам: кайталоолорду агымга шайкеш келтириңиз

Шлюздун тайм-аутын жана кайталоо жүрүм-турумун ал башкарган аутентификация агымына шайкеш келтириңиз. Шайкештелбеген кайталоолор бир нече суроо жаратат, аракеттерди салыштырууну чаташтырат жана журналга кайсы жыйынтык кайсы кирүүгө таандык экенин айта албай калтырат. Абдан узун тайм-аут жеткиликтүүлүк долбоору эмес; ал ошол эле жоопту узагыраак күтүү.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Проксинин өзүнүн суроо тайм-ауты — өзүнчө чек: берилген жана эч качан бүтпөгөн аутентификация суроосу четке кагылат, жана бул баш тартуу артка чегинүүгө боло турган үзгүлтүк эмес. Баш тартууну, бүтпөгөн чакырыкты жана жеткиликсиз кызматты чечим таблицаңызга үч түрдүү киргизүү катары караңыз. Андан кийин таблицаны айкын кылыңыз: кайсы абал киргизет, кайсы абал кармап турат жана кайсы абал адамга эскалацияланат.

Эгер эки компонент тең кайталаса, адегенде кайталоолордун ээлигин оңдоңуз. Кайталанган суроолор — эки ээнин белгиси, жай кызматтын эмес.

4-кадам: өзгөчө кирүүнү өзүнчө башкарыңыз

Эгер өзгөчө кирүү керек болсо, ага өзүнүн камтуусун, инсандыгын, ыйгарым укугун жана аудит изин бериңиз. Бардык колдонуучулар үчүн MFAны унчукпай өчүрүү өзгөчө жол-жобо эмес; бул окуяга байланган туруктуу алсыратуу. Коопсуздук ээси кирүү эрежесин, көрүнүүнү жана эскалация жолун алдын ала бекитет.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Бүт матрицаны өндүрүштүк эмес чөйрөдө текшериңиз: баштапкы ийгиликсиздик, атайын баш тартуу, чакырыктын мөөнөтүнүн бүтүшү жана кызматтын жеткиликсиздиги. Ар бири үчүн кирүү жыйынтыгын жана журналга жазылган себепти жазыңыз. Конфигурацияланган жүрүм-турумду билүү үчүн өндүрүштүк үзгүлтүк жаратпаңыз жана өзгөчө жолду ал үчүн жазылган окуянын учурунда биринчи жолу текшербеңиз. Эч качан иштетилбеген калыбына келтирүү жол-жобосу — документ, көзөмөл эмес.

Жетекчилик үч абал аталганда, бузулуу режими иштеп жаткан системадан окулганда, кайталоолордун бир ээси болгондо жана өзгөчө кирүүнүн өзүнүн бекитүүсү жана каралышы болгондо бүтөт. Божомолдонгон аткаруу жана белгилүү калыбына келтирүү жолу — документтештирүүгө татыктуу жыйынтык.