MFA सेवा बंद: VPN प्रवेशाचा निर्णय आधीच घ्या

VPN प्रवेश थांबतो, आणि इशारा सांगतो की दुसऱ्या घटकाची सेवा उपलब्ध नाही। कोणी अजूनही जोडू शकतो का हा धोरणाचा प्रश्न आहे ज्याचे उत्तर व्यत्ययापूर्वी द्यायला हवे होते, व्यत्ययादरम्यान नाही। अनुपलब्ध पडताळणीकर्ता हा घटक पास झाल्याचा पुरावा नाही, आणि नाकारलेले आव्हान उपलब्ध नसलेल्या आव्हानासारखीच घटना नाही। खालील मार्गदर्शक हा फरक तुम्ही तपासू शकता अशा लेखी नियमात बदलतो।

पायरी 1: तीन निष्कर्षांची नावे वेगळी ठेवा

तीन स्थिती लिहा आणि त्या एकत्र करण्यास नकार द्या: प्राथमिक प्रमाणीकरण अयशस्वी झाले, दुसऱ्या घटकाचे आव्हान नाकारले गेले किंवा कालबाह्य झाले, आणि MFA सेवेने कधीही उत्तर दिले नाही। प्रत्येकाला वेगळा मालक, वेगळी लॉग ओळ आणि वेगळा योग्य प्रतिसाद आहे। एक सामान्य कालबाह्यता संदेश तुम्ही कोणत्या स्थितीत आहात हे लपवतो, आणि हीच अस्पष्टता व्यत्ययाचे वादात रूपांतर करते। गरज पडण्यापूर्वी मार्गदर्शकात स्थितींना नावे द्या।

नकार म्हणजे पडताळणीकर्त्याने उत्तर दिले आणि नाही म्हटले, हा धोरणाचा निष्कर्ष आहे, उपलब्धतेचा प्रश्न नाही। कालबाह्य प्रयत्न म्हणजे आव्हान होते आणि कोणीही ते वेळेत पूर्ण केले नाही। अनुपलब्ध सेवा म्हणजे प्रश्नाला उत्तरच मिळाले नाही। फक्त तिसरीच व्यत्यय आहे।

पायरी 2: प्रॉक्सी प्रत्यक्षात वापरत असलेला अयशस्वी मोड वाचा

सेवेशी संपर्क होऊ शकत नाही तेव्हा वर्तन नियंत्रित करणारी सेटिंग शोधा, आणि ती टेम्पलेटमधून नाही, चालू कॉन्फिगरेशनमधून वाचा। Duo च्या RADIUS प्रॉक्सीमध्ये नोंदवलेली failmode मूल्ये safe आणि secure आहेत, जिथे safe फक्त प्राथमिक प्रमाणीकरण यशस्वी झाल्यावर प्रयत्नाला परवानगी देतो, आणि secure त्या स्थितीत प्रयत्न नाकारतो।

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe हे नाव उपलब्धतेची निवड वर्णन करते, प्रत्येक स्वीकारलेल्या सत्रात नवीन दुसरा घटक होता अशी हमी नाही। ते वाक्य जोखीम नोंदवहीत जाते, कारण सेटिंग करते ती नेमकी हीच देवघेव आहे। मूल्य दुसऱ्या पुरवठादाराकडे, दुसऱ्या एकत्रीकरणाकडे किंवा वेगळ्या प्रॉक्सी मोडकडे सामान्यीकृत करू नका; त्या उत्पादनाच्या स्वतःच्या समतुल्यासाठी त्याचे दस्तऐवज वाचा। ही समज नसताना विक्रेत्याच्या उदाहरणातून कॉपी केलेले कॉन्फिगरेशन पुढील व्यत्ययाची वाट पाहणारे आश्चर्य आहे।

कोणताही मोड सक्रिय आहे हे कोणी सांगू शकत नसेल तर थांबा। मार्गदर्शकाचा उर्वरित भाग त्या उत्तरावर अवलंबून आहे।

पायरी 3: पुन्हा प्रयत्न प्रवाहाशी जुळवा

गेटवेची कालबाह्यता आणि पुन्हा प्रयत्नाचे वर्तन तो चालवत असलेल्या प्रमाणीकरण प्रवाहाशी जुळवा। असमन्वित पुन्हा प्रयत्न अनेक विनंत्या तयार करतात, प्रयत्न जुळवणी गोंधळवतात आणि कोणता निष्कर्ष कोणत्या लॉगिनचा आहे हे लॉगला सांगता येत नाही अशा स्थितीत सोडतात। खूप लांब कालबाह्यता ही उपलब्धतेची रचना नाही; ती त्याच उत्तरासाठी जास्त वेळ थांबणे आहे।

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

प्रॉक्सीची स्वतःची विनंती-कालबाह्यता वेगळी मर्यादा आहे: दिलेली आणि कधीही पूर्ण न होणारी प्रमाणीकरण विनंती नाकारली जाते, आणि तो नकार मागे हटता येणारा व्यत्यय नाही। नकार, अपूर्ण आव्हान आणि अनुपलब्ध सेवा या तुमच्या निर्णय-तक्त्याच्या तीन वेगळ्या इनपुट म्हणून घ्या। नंतर तक्ता स्पष्ट करा: कोणती स्थिती प्रवेश देते, कोणती स्थिती धरून ठेवते आणि कोणती स्थिती माणसाकडे एस्कलेट होते।

दोन घटक दोन्ही पुन्हा प्रयत्न करत असतील, तर आधी पुन्हा प्रयत्नांची मालकी दुरुस्त करा। दुहेरी विनंत्या दोन मालकांचे लक्षण आहे, संथ सेवेचे नाही।

पायरी 4: आपत्कालीन प्रवेश स्वतंत्रपणे चालवा

आपत्कालीन प्रवेश आवश्यक असल्यास त्याला स्वतःचे व्याप्ती, ओळख, अधिकृतता आणि ऑडिट ट्रेल द्या। सर्व वापरकर्त्यांसाठी MFA शांतपणे बंद करणे ही आपत्कालीन प्रक्रिया नाही; ती घटनेशी जोडलेली कायमची कमजोरी आहे। सुरक्षा मालक प्रवेश नियम, दृश्यमानता आणि एस्कलेशन मार्ग आधीच मंजूर करतो।

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

उत्पादन-व्यतिरिक्त वातावरणात संपूर्ण मॅट्रिक्स तपासा: प्राथमिक अयशस्वीता, हेतुपूर्वक नकार, आव्हानाची कालबाह्यता आणि सेवेची अनुपलब्धता। प्रत्येकासाठी प्रवेशाचा निष्कर्ष आणि लॉगमध्ये लिहिलेले कारण नोंदवा। कॉन्फिगर केलेले वर्तन शोधण्यासाठी उत्पादनात व्यत्यय निर्माण करू नका, आणि ज्या घटनेसाठी आपत्कालीन मार्ग लिहिला गेला त्याच घटनेदरम्यान पहिल्यांदा तो तपासू नका। कधीही न चालवलेली पुनर्प्राप्ती प्रक्रिया म्हणजे दस्तऐवज, नियंत्रण नाही।

तीन स्थितींना नावे दिली गेली, अयशस्वी मोड चालू प्रणालीतून वाचला गेला, पुन्हा प्रयत्नांचा एक मालक आहे आणि आपत्कालीन प्रवेशाला स्वतःची मंजुरी व पुनरावलोकन आहे तेव्हा मार्गदर्शक संपतो। अंदाज करता येणारी अंमलबजावणी आणि ज्ञात पुनर्प्राप्ती मार्ग हा दस्तऐवज करण्यायोग्य निष्कर्ष आहे।