MFA-Service ausgefall: entscheed den VPN-Zougang virdrun

Den VPN-Zougang stoppt, an den Alarm seet, datt den Second-Faktor-Service net erreechbar ass. Ob nach ëmmer een sech ka verbannen, ass eng Politiksfro, déi virum Ausfall hätt misse beäntwert ginn, net während deem. En net verfügbare Verifizéierer ass keen Beweis, datt e Faktor bestanen huet, an eng ofgeleent Challenge ass net dat selwecht Evenement wéi eng net erreechbar. D’Prozedur hei drënner mécht aus dësem Ënnerscheed eng schrëftlech Regel, déi Dir kënnt testen.

Schrëtt 1: nennt déi dräi Resultater getrennt

Schreift dräi Zoustänn op a weigert Iech, se zesummenzefaassen: d’Primärauthentifikatioun ass gescheitert, d’Second-Faktor-Challenge gouf ofgeleent oder ass ofgelaf, an den MFA-Service huet ni geäntwert. Jidderee huet en aneren Eegentümer, eng aner Logzeil an eng aner richteg Reaktioun. Eng eenzeg allgemeng Timeout-Message verstoppt, a wéien Dir sidd, an déi Onkloerheet mécht aus engem Ausfall eng Diskussioun. Nennt d’Zoustänn an der Prozedur, ier Dir se braucht.

Eng Oflehnung heescht, datt de Verifizéierer geäntwert an nee gesot huet, wat e Politikresultat ass an net e Verfügbarkeetsproblem. En ofgelaf Versuch heescht, datt d’Challenge existéiert huet an et keen an der Zäit fäerdeg bruecht huet. En net erreechbare Service heescht, datt d’Fro guer net beäntwert gouf. Nëmmen déi drëtt ass en Ausfall.

Schrëtt 2: liest de Feelmode, deen de Proxy tatsächlech benotzt

Fannt d’Astellung, déi d’Verhalen entscheet, wann de Service net kontaktéiert ka ginn, a liest se aus der lafender Konfiguratioun an net aus enger Schabloun. Am RADIUS-Proxy vun Duo sinn déi dokumentéiert failmode-Wäerter safe an secure, woubäi safe en Versuch nëmmen erlaabt, wann d’Primärauthentifikatioun geléngt, a secure de Versuch ënner därer Conditioun ofleet.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Den Numm safe beschreift eng Entscheedung fir Verfügbarkeet, net eng Garantie, datt all zougeloosse Sessioun en neien zweete Faktor hat. Dee Saz gehéiert an de Risikoregister, well et genee deen Tausch ass, deen d’Astellung mécht. Generaliséiert de Wäert net op en aneren Ubidder, eng aner Integratioun oder en anere Proxy-Modus; liest d’Dokumentatioun vun deem Produkt fir säin eegene Gläichwäerteg. Eng Konfiguratioun, déi aus engem Händlermodell kopéiert gouf ouni dëst Verständnis, ass eng Iwwerraschung, déi op den nächsten Ausfall waart.

Stoppt, wann keen ka soen, wéi en Modus aktiv ass. De Rescht vun der Prozedur hänkt vun där Äntwert of.

Schrëtt 3: passt d’Widderhuelungen un de Floss

Riicht den Timeout an d’Verhalen bei Widderhuelunge vum Gateway op den Authentifikatiounsfloss aus, deen en undreift. Net koordinéiert Widderhuelungen erzeugen e puer Ufroen, verwiereren d’Zoumatching vun de Versich a loossen de Log net soen, wéi en Resultat zu wéi engem Login gehéiert. En immens laangen Timeout ass keen Design fir Verfügbarkeet; et ass eng méi laang Waarde op déi selwecht Äntwert.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Den eegenen Ufro-Timeout vum Proxy ass eng separat Grenz: eng Authentifikatiounsufro, déi ausgestallt an ni fäerdeg gëtt, gëtt ofgeleent, an déi Oflehnung ass keen Ausfall, vun deem een zrécktrëtt. Behandelt eng Oflehnung, eng onfäerdeg Challenge an en net erreechbare Service als dräi verschidde Virgäng an Ärer Entscheedungstabell. Maacht d’Tabell duerno explizit: wéien Zoustaand erlaabt, wéien Zoustaand hält a wéien Zoustaand op e Mënsch eskaléiert.

Wann zwou Komponente béid widderhuelen, fléckt als éischt d’Eegentum vun de Widderhuelungen. Duplikat-Ufroen si Symptom vun zwéin Eegentümer, net vun engem luesen Service.

Schrëtt 4: regelt den Noutfall-Zougang separat

Wann en Noutfall-Zougang gebraucht gëtt, gitt him säin eegene Koup, seng Identitéit, Autorisatioun an Audit-Spur. MFA fir all Benotzer stëll auszeschalten ass keng Noutfallprozedur; et ass eng permanent Schwächung mat engem Tëschefall drun. Den Sécherheetsverantwortlechen accordéiert d’Zougangsregel, d’Sichtbarkeet an de Wee vun der Eskalatioun am Viraus.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Test d’ganz Matrix an enger Ëmgebung déi net Produktioun ass: Primaire Feeler, bewosst Oflehnung, Ofleefen vun der Challenge an Netverfügbarkeet vum Service. Fir jiddereen, notéiert d’Zougangsresultat an de Grond, dee geloggt gouf. Erzeugt keen Produktiounsausfall, fir d’konfiguréiert Verhalen ze entdecken, a test den Noutfallwee net fir d’éischt Kéier wärend dem Tëschefall, fir deen en geschriwwe gouf. Eng Erhuelungsprozedur, déi ni gelaf ass, ass en Dokument, keng Kontroll.

D’Prozedur endet, wann déi dräi Zoustänn genannt sinn, de Feelmode aus dem lafende System gelies gouf, d’Widderhuelungen een Eegentümer hunn an den Noutfall-Zougang seng eegen Accordéierung a Revü huet. Virsiichteg Duerchsetzung plus en bekannten Erhuelungswee ass d’Resultat, dat et wäert ass ze dokumentéieren.