MFA үйлчилгээ уналаа: VPN-ийн нэвтрэх эрхийг урьдчилан шийдээрэй

VPN нэвтрэлт зогсож, анхааруулга хоёр дахь хүчин зүйлийн үйлчилгээнд хүрэх боломжгүй гэж мэдэгдэнэ. Хэн нэгэн одоо ч холбогдож чадах эсэх нь тасалдалаас өмнө хариулах ёстой байсан бодлогын асуудал бөгөөд тасалдалын үеэр биш. Хүрэх боломжгүй баталгаажуулагч нь хүчин зүйл давсан гэдгийн баталгаа биш, татгалзсан сорилт нь хүрэх боломжгүй сорилттой ижил үйл явдал биш. Доорх заавар энэ ялгааг таны шалгаж болох бичмэл дүрэм болгоно.

1-р алхам: гурван үр дүнг тусад нь нэрлэ

Гурван төлөвийг бичээд тэдгээрийг нэгтгэхээс татгалз: үндсэн баталгаажуулалт бүтэлгүйтсэн, хоёр дахь хүчин зүйлийн сорилт татгалзагдсан эсвэл хугацаа нь дууссан, MFA үйлчилгээ хэзээ ч хариу өгөөгүй. Тус бүр өөр эзэн, өөр бүртгэлийн мөр, өөр зөв хариутай. Нэг ерөнхий хугацаа хэтэрсэн мэдэгдэл таныг алинд байгааг нуух бөгөөд тэр тодорхойгүй байдал нь тасалдалыг маргаан болгодог. Төлөвүүдийг хэрэгтэй болохоос өмнө зааварт нэрлэ.

Татгалзсан гэдэг нь баталгаажуулагч хариу өгч үгүй гэж хэлсэн, энэ нь бодлогын үр дүн бөгөөд хүртээмжийн асуудал биш. Хугацаа нь дууссан оролдлого нь сорилт байсан боловч хэн ч цагт нь дуусгаагүй гэсэн үг. Хүрэх боломжгүй үйлчилгээ нь асуултад огт хариу өгөөгүй гэсэн үг. Зөвхөн гурав дахь нь тасалдал.

2-р алхам: прокси бодитоор ашигладаг эвдрэлийн горимыг унш

Үйлчилгээтэй холбогдох боломжгүй үед зан төлөвийг удирддаг тохиргоог олж, үүнийг загвараас биш, ажиллаж буй тохиргооноос унш. Duo-гийн RADIUS проксид баримтжуулсан failmode утгууд нь safe ба secure бөгөөд safe нь зөвхөн үндсэн баталгаажуулалт амжилттай үед оролдлогыг зөвшөөрч, secure нь тэр нөхцөлд оролдлогыг татгалздаг.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe нэр нь хүртээмжийн сонголтыг тодорхойлдог бөгөөд зөвшөөрөгдсөн сесс бүр шинэ хоёр дахь хүчин зүйлтэй байсан гэсэн баталгаа биш. Тэр өгүүлбэр эрсдэлийн бүртгэлд хамаарна, учир нь энэ нь тохиргооны хийх яг тэр солилцоо юм. Утгыг өөр үйлчилгээ үзүүлэгч, өөр интеграц эсвэл өөр прокси горимд ерөнхийлж болохгүй; тухайн бүтээгдэхүүний өөрийнх нь эквивалентын талаар түүний баримт бичгийг унш. Энэ ойлголтгүйгээр нийлүүлэгчийн жишээнээс хуулсан тохиргоо нь дараагийн тасалдалыг хүлээж буй гэнэтийн зүйл юм.

Аль горим идэвхтэйг хэн ч хэлж чадахгүй бол зогс. Зааврын үлдсэн хэсэг тэр хариултаас хамаарна.

3-р алхам: дахин оролдлогуудыг урсгалтай нийцүүл

Гарцын хугацаа хэтэрсэн хугацаа болон дахин оролдлогын зан төлөвийг түүний удирдаж буй баталгаажуулалтын урсгалтай нийцүүл. Зохицуулалтгүй дахин оролдлогууд олон хүсэлт үүсгэж, оролдлогын харьцуулалтыг будлиулж, аль үр дүн аль нэвтрэлтэд хамаарахыг бүртгэл хэлж чадахгүй болгоно. Хэт урт хугацаа нь хүртээмжийн загвар биш; энэ нь ижил хариултыг илүү удаан хүлээх явдал.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Проксигийн өөрийн хүсэлтийн хугацаа нь тусдаа хязгаар: олгогдож, хэзээ ч дуусахгүй баталгаажуулалтын хүсэлт татгалзагдах бөгөөд тэр татгалзал нь буцаж болох тасалдал биш. Татгалзал, дуусаагүй сорилт, хүрэх боломжгүй үйлчилгээг шийдвэрийн хүснэгтийн гурван өөр оролт гэж үз. Дараа нь хүснэгтийг тодорхой болго: аль төлөв нэвтрүүлж, аль төлөв барьж, аль төлөв хүн рүү өргөжин шилждэг.

Хоёр бүрэлдэхүүн хоёулаа дахин оролдвол эхлээд дахин оролдлогын эзэмшийг зас. Давхардсан хүсэлтүүд нь хоёр эзний шинж, удаан үйлчилгээний шинж биш.

4-р алхам: онцгой нэвтрэлтийг тусад нь удирд

Онцгой нэвтрэлт шаардлагатай бол түүнд өөрийн хамрах хүрээ, таних тэмдэг, эрх мэдэл, аудитын ул мөрийг өг. Бүх хэрэглэгчид MFA-г чимээгүйгээр идэвхгүй болгох нь онцгой журам биш; энэ нь осол хавсарсан байнгын сулрал юм. Аюулгүй байдлын эзэн нэвтрэх дүрэм, харагдах байдал, өргөжин шилжих замыг урьдчилан зөвшөөрдөг.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Бүх матрицыг үйлдвэрлэлийн бус орчинд шалга: үндсэн бүтэлгүйтэл, санаатай татгалзал, сорилтын хугацаа дуусах, үйлчилгээний хүртээмжгүй байдал. Тус бүрийн хувьд нэвтрэх үр дүн болон бүртгэлд бичигдсэн шалтгааныг тэмдэглэ. Тохируулсан зан төлөвийг олж мэдэхийн тулд үйлдвэрлэлийн тасалдал үүсгэж болохгүй, онцгой замыг түүний зориулж бичсэн ослын үеэр анх удаа шалгаж болохгүй. Хэзээ ч ажиллуулж үзээгүй сэргээх журам бол баримт бичиг, хяналт биш.

Гурван төлөв нэрлэгдэж, эвдрэлийн горим ажиллаж буй системээс уншигдсанаар, дахин оролдлогууд нэг эзэнтэй болж, онцгой нэвтрэлт өөрийн зөвшөөрөл, хяналттай болсноор заавар өндөрлөнө. Урьдчилан таамаглах боломжтой хэрэгжилт болон мэдэгдэж буй сэргээх зам нь баримтжуулах үнэ цэнэтэй үр дүн юм.