MFA pakalpojums nav pieejams: izlemiet VPN piekļuvi iepriekš

VPN piekļuve apstājas, un brīdinājums saka, ka otrā faktora pakalpojums nav sasniedzams. Vai kāds vēl var pieslēgties, ir politikas jautājums, uz kuru bija jāatbild pirms pārtraukuma, nevis tā laikā. Nepieejams pārbaudītājs nav pierādījums, ka faktors ir izturēts, un noraidīts izaicinājums nav tas pats notikums kā nesasniedzams. Tālāk sniegtā instrukcija pārvērš šo atšķirību rakstiskā noteikumā, ko varat pārbaudīt.

1. solis: nosauciet trīs iznākumus atsevišķi

Pierakstiet trīs stāvokļus un atsakieties tos apvienot: primārā autentifikācija neizdevās, otrā faktora izaicinājums tika noraidīts vai beidzās, un MFA pakalpojums nekad neatbildēja. Katram ir cits īpašnieks, cita žurnāla rinda un cita pareiza atbilde. Viens vispārīgs taimauta ziņojums slēpj, kurā no tiem esat, un tieši šī neskaidrība pārvērš pārtraukumu strīdā. Nosauciet stāvokļus instrukcijā, pirms tie jums nepieciešami.

Noraidījums nozīmē, ka pārbaudītājs atbildēja un teica nē, kas ir politikas iznākums, nevis pieejamības problēma. Beidzies mēģinājums nozīmē, ka izaicinājums pastāvēja un neviens to laikus nepabeidza. Nesasniedzams pakalpojums nozīmē, ka uz jautājumu vispār netika atbildēts. Tikai trešais ir pārtraukums.

2. solis: izlasiet atteices režīmu, ko starpniekservers faktiski izmanto

Atrodiet iestatījumu, kas pārvalda uzvedību, kad pakalpojumam nevar piekļūt, un izlasiet to no darbojošās konfigurācijas, nevis no veidnes. Duo RADIUS starpniekserverī dokumentētās failmode vērtības ir safe un secure, kur safe pieļauj mēģinājumu tikai tad, kad primārā autentifikācija izdodas, un secure noraida mēģinājumu šajā nosacījumā.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Nosaukums safe raksturo pieejamības izvēli, nevis garantiju, ka katrai pieņemtajai sesijai bija svaigs otrais faktors. Šis teikums pieder riska reģistram, jo tas ir tieši tas maiņas darījums, ko iestatījums veic. Nedefinējiet vērtību uz citu pakalpojumu sniedzēju, citu integrāciju vai citu starpniekservera režīmu; lasiet tā produkta dokumentāciju par tā paša ekvivalentu. Bez šīs izpratnes no piegādātāja piemēra nokopēta konfigurācija ir pārsteigums, kas gaida nākamo pārtraukumu.

Apstājieties, ja neviens nevar pateikt, kurš režīms ir aktīvs. Pārējā instrukcijas daļa ir atkarīga no šīs atbildes.

3. solis: saskaņojiet atkārtojumus ar plūsmu

Saskaņojiet vārtejas taimautu un atkārtojumu uzvedību ar autentifikācijas plūsmu, ko tā vada. Nesaskaņoti atkārtojumi rada vairākus uzvedumus, sajauc mēģinājumu pārošanu un atstāj žurnālu nespējīgu pateikt, kurš rezultāts pieder kurai pieteikšanās reizei. Ļoti garš taimauts nav pieejamības dizains; tas ir ilgāka gaidīšana uz to pašu atbildi.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Starpniekservera paša pieprasījuma taimauts ir atsevišķa robeža: autentifikācijas pieprasījums, kas tiek izsniegts un nekad netiek pabeigts, tiek noraidīts, un šis noraidījums nav pārtraukums, no kura atkāpties. Uztveriet noraidījumu, nepabeigtu izaicinājumu un nesasniedzamu pakalpojumu kā trīs dažādas ievades savā lēmumu tabulā. Pēc tam padariet tabulu skaidru: kurš stāvoklis ielaiž, kurš stāvoklis aiztur un kurš stāvoklis tiek eskalēts cilvēkam.

Ja divas komponentes abas atkārto, vispirms izlabojiet atkārtojumu īpašumtiesības. Dublēti uzvedumi ir divu īpašnieku simptoms, nevis lēna pakalpojuma.

4. solis: pārvaldiet avārijas piekļuvi atsevišķi

Ja nepieciešama avārijas piekļuve, piešķiriet tai savu tvērumu, identitāti, atļauju un audita pēdas. Klusa MFA atslēgšana visiem lietotājiem nav avārijas procedūra; tas ir pastāvīgs vājinājums ar incidentu klāt. Drošības īpašnieks iepriekš apstiprina piekļuves noteikumu, redzamību un eskalācijas ceļu.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Pārbaudiet visu matricu neparedzētā vidē: primāro kļūmi, tīšu noraidījumu, izaicinājuma beigšanos un pakalpojuma nepieejamību. Katram pierakstiet piekļuves rezultātu un žurnālā ierakstīto iemeslu. Neradiet ražošanas pārtraukumu, lai atklātu konfigurēto uzvedību, un nepārbaudiet avārijas ceļu pirmo reizi tā incidenta laikā, kuram tas tika rakstīts. Nekad neizpildīta atjaunošanas procedūra ir dokuments, nevis kontrole.

Instrukcija beidzas, kad trīs stāvokļi ir nosaukti, atteices režīms nolasīts no darbojošās sistēmas, atkārtojumiem ir viens īpašnieks un avārijas piekļuvei ir sava apstiprināšana un pārskatīšana. Prognozējama izpilde un zināms atjaunošanas ceļš ir rezultāts, ko ir vērts dokumentēt.