MFA услугата падна: одлучете за VPN пристапот пред да откаже

VPN пристапот запира, а предупредувањето вели дека услугата за втор фактор е недостапна. Дали некој и понатаму може да се поврзе е прашање на политика на кое требаше да се одговори пред прекинот, а не за време на него. Недостапниот проверувач не е доказ дека факторот поминал, а одбиениот предизвик не е истиот настан како недостапниот. Упатството подолу ја претвора таа разлика во писмено правило што можете да го тестирате.

Чекор 1: именувајте ги трите исходи одделно

Запишете три состојби и одбијте да ги споите: примарната автентикација не успеа, предизвикот за втор фактор беше одбиен или истече, а MFA услугата никогаш не одговори. Секоја има различен сопственик, различен ред во дневникот и различен правилен одговор. Една општа порака за истек на време крие во која сте, и токму таа нејасност го претвора прекинот во расправија. Именувајте ги состојбите во упатството пред да ви бидат потребни.

Одбивање значи дека проверувачот одговорил и рекол не, што е исход на политика, а не проблем со достапност. Истечен обид значи дека предизвикот постоел и никој не го завршил навреме. Недостапна услуга значи дека прашањето воопшто не добило одговор. Само третата е прекин.

Чекор 2: прочитајте го режимот на откажување што проксито навистина го користи

Најдете го поставувањето што го управува однесувањето кога услугата не може да се контактира, и прочитајте го од конфигурацијата што работи, а не од шаблон. Во RADIUS проксито на Duo, документираните вредности на failmode се safe и secure, при што safe дозволува обид само кога примарната автентикација успева, а secure го одбива обидот во тој услов.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Името safe опишува избор на достапност, а не гаранција дека секоја прифатена сесија имала свеж втор фактор. Таа реченица припаѓа во регистарот на ризици, бидејќи тоа е точно таа размена што ја прави поставката. Не генерализирајте ја вредноста на друг провајдер, друга интеграција или друг режим на прокси; прочитајте ја документацијата на тој производ за неговиот сопствен еквивалент. Конфигурација копирана од пример на добавувач без ова разбирање е изненадување што го чека следниот прекин.

Запрете ако никој не може да каже кој режим е активен. Остатокот од упатството зависи од тој одговор.

Чекор 3: усогласете ги повторувањата со текот

Усогласете го временското ограничување и однесувањето при повторување на портата со текот на автентикација што го води. Неусогласените повторувања создаваат повеќе барања, го збунуваат спарувањето на обидите и го оставаат дневникот неспособен да каже кој резултат припаѓа на кое најавување. Многу долго временско ограничување не е дизајн за достапност; тоа е подолго чекање за истиот одговор.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Сопственото временско ограничување на барањето на проксито е одделна граница: барање за автентикација што е издадено и никогаш не е завршено се одбива, а тоа одбивање не е прекин од кој се повлекувате. Третирајте го одбивањето, недовршениот предизвик и недостапната услуга како три различни влезови во вашата табела за одлуки. Потоа направете ја табелата експлицитна: која состојба пушта, која состојба задржува и која состојба се ескалира до човек.

Ако две компоненти и двете повторуваат, прво поправете го сопствеништвото на повторувањата. Двојните барања се симптом на два сопственика, а не на бавна услуга.

Чекор 4: управувајте со итниот пристап одделно

Ако е потребен итен пристап, дајте му сопствен опсег, идентитет, овластување и ревизорска трага. Тивкото оневозможување на MFA за сите корисници не е итна постапка; тоа е трајно ослабнување со инцидент прикачен на него. Сопственикот на безбедноста однапред го одобрува правилото за пристап, видливоста и патот за ескалација.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Тестирајте ја целата матрица во не-продукциска околина: примарен неуспех, намерно одбивање, истекување на предизвикот и недостапност на услугата. За секој, запишете го резултатот од пристапот и причината што е запишана во дневникот. Не создавајте продукциски прекин за да го откриете конфигурираното однесување, и не тестирајте го итниот пат за првпат за време на инцидентот за кој е напишан. Постапка за обновување што никогаш не е извршена е документ, а не контрола.

Упатството завршува кога трите состојби се именувани, режимот на откажување е прочитан од системот што работи, повторувањата имаат еден сопственик и итниот пристап има свое одобрување и преглед. Предвидливото спроведување плус познат пат за обновување е исходот што вреди да се документира.