MFA ਸੇਵਾ ਬੰਦ: VPN ਪ੍ਰਵੇਸ਼ ਦਾ ਫੈਸਲਾ ਪਹਿਲਾਂ ਕਰੋ

VPN ਪ੍ਰਵੇਸ਼ ਰੁਕ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਚੇਤਾਵਨੀ ਕਹਿੰਦੀ ਹੈ ਕਿ ਦੂਜੇ ਕਾਰਕ ਦੀ ਸੇਵਾ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਹੈ। ਕੀ ਕੋਈ ਅਜੇ ਵੀ ਜੁੜ ਸਕਦਾ ਹੈ, ਇਹ ਨੀਤੀ ਦਾ ਸਵਾਲ ਹੈ ਜਿਸ ਦਾ ਜਵਾਬ ਰੁਕਾਵਟ ਤੋਂ ਪਹਿਲਾਂ ਦੇਣਾ ਚਾਹੀਦਾ ਸੀ, ਰੁਕਾਵਟ ਦੌਰਾਨ ਨਹੀਂ। ਉਪਲਬਧ ਨਾ ਹੋਣ ਵਾਲਾ ਪ੍ਰਮਾਣਕ ਇਸ ਗੱਲ ਦਾ ਸਬੂਤ ਨਹੀਂ ਕਿ ਕੋਈ ਕਾਰਕ ਪਾਸ ਹੋਇਆ, ਅਤੇ ਰੱਦ ਕੀਤੀ ਚੁਣੌਤੀ ਅਣਪਹੁੰਚ ਚੁਣੌਤੀ ਵਰਗੀ ਉਹੀ ਘਟਨਾ ਨਹੀਂ ਹੈ। ਹੇਠਾਂ ਦਿੱਤਾ ਮਾਰਗਦਰਸ਼ਕ ਇਸ ਫ਼ਰਕ ਨੂੰ ਉਸ ਲਿਖਤੀ ਨਿਯਮ ਵਿੱਚ ਬਦਲਦਾ ਹੈ ਜਿਸ ਦੀ ਤੁਸੀਂ ਜਾਂਚ ਕਰ ਸਕਦੇ ਹੋ।

ਕਦਮ 1: ਤਿੰਨ ਨਤੀਜਿਆਂ ਦੇ ਨਾਮ ਵੱਖਰੇ ਰੱਖੋ

ਤਿੰਨ ਅਵਸਥਾਵਾਂ ਲਿਖੋ ਅਤੇ ਉਨ੍ਹਾਂ ਨੂੰ ਮਿਲਾਉਣ ਤੋਂ ਇਨਕਾਰ ਕਰੋ: ਮੁੱਢਲੀ ਪ੍ਰਮਾਣਿਕਤਾ ਫੇਲ੍ਹ ਹੋਈ, ਦੂਜੇ ਕਾਰਕ ਦੀ ਚੁਣੌਤੀ ਰੱਦ ਹੋਈ ਜਾਂ ਸਮਾਂ ਖ਼ਤਮ ਹੋਇਆ, ਅਤੇ MFA ਸੇਵਾ ਨੇ ਕਦੇ ਜਵਾਬ ਨਹੀਂ ਦਿੱਤਾ। ਹਰ ਇੱਕ ਦਾ ਵੱਖਰਾ ਮਾਲਕ, ਵੱਖਰੀ ਲਾਗ ਲਾਈਨ ਅਤੇ ਵੱਖਰਾ ਸਹੀ ਜਵਾਬ ਹੈ। ਇੱਕ ਆਮ ਸਮਾਂ-ਖ਼ਤਮ ਸੰਦੇਸ਼ ਲੁਕਾਉਂਦਾ ਹੈ ਕਿ ਤੁਸੀਂ ਕਿਸ ਵਿੱਚ ਹੋ, ਅਤੇ ਇਹੀ ਅਸਪਸ਼ਟਤਾ ਰੁਕਾਵਟ ਨੂੰ ਬਹਿਸ ਵਿੱਚ ਬਦਲਦੀ ਹੈ। ਲੋੜ ਪੈਣ ਤੋਂ ਪਹਿਲਾਂ ਮਾਰਗਦਰਸ਼ਕ ਵਿੱਚ ਅਵਸਥਾਵਾਂ ਦੇ ਨਾਮ ਰੱਖੋ।

ਰੱਦ ਦਾ ਅਰਥ ਹੈ ਕਿ ਪ੍ਰਮਾਣਕ ਨੇ ਜਵਾਬ ਦਿੱਤਾ ਅਤੇ ਨਾ ਕਿਹਾ, ਜੋ ਨੀਤੀ ਦਾ ਨਤੀਜਾ ਹੈ, ਉਪਲਬਧਤਾ ਦੀ ਸਮੱਸਿਆ ਨਹੀਂ। ਸਮਾਂ ਖ਼ਤਮ ਹੋਈ ਕੋਸ਼ਿਸ਼ ਦਾ ਅਰਥ ਹੈ ਕਿ ਚੁਣੌਤੀ ਸੀ ਅਤੇ ਕਿਸੇ ਨੇ ਵੀ ਸਮੇਂ ਸਿਰ ਪੂਰੀ ਨਹੀਂ ਕੀਤੀ। ਅਣਪਹੁੰਚ ਸੇਵਾ ਦਾ ਅਰਥ ਹੈ ਕਿ ਸਵਾਲ ਦਾ ਜਵਾਬ ਹੀ ਨਹੀਂ ਦਿੱਤਾ ਗਿਆ। ਸਿਰਫ਼ ਤੀਜੀ ਹੀ ਰੁਕਾਵਟ ਹੈ।

ਕਦਮ 2: ਪ੍ਰੌਕਸੀ ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਫੇਲ੍ਹ ਮੋਡ ਵਰਤਦਾ ਹੈ, ਪੜ੍ਹੋ

ਉਹ ਸੈਟਿੰਗ ਲੱਭੋ ਜੋ ਸੇਵਾ ਨਾਲ ਸੰਪਰਕ ਨਾ ਹੋਣ ਵੇਲੇ ਵਿਵਹਾਰ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਦੀ ਹੈ, ਅਤੇ ਇਸਨੂੰ ਟੈਂਪਲੇਟ ਤੋਂ ਨਹੀਂ, ਚੱਲ ਰਹੀ ਕਨਫਿਗਰੇਸ਼ਨ ਤੋਂ ਪੜ੍ਹੋ। Duo ਦੀ RADIUS ਪ੍ਰੌਕਸੀ ਵਿੱਚ ਦਸਤਾਵੇਜ਼ੀ failmode ਮੁੱਲ safe ਅਤੇ secure ਹਨ, ਜਿੱਥੇ safe ਸਿਰਫ਼ ਤਦ ਕੋਸ਼ਿਸ਼ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ ਜਦੋਂ ਮੁੱਢਲੀ ਪ੍ਰਮਾਣਿਕਤਾ ਸਫਲ ਹੋਵੇ, ਅਤੇ secure ਉਸ ਹਾਲਤ ਵਿੱਚ ਕੋਸ਼ਿਸ਼ ਰੱਦ ਕਰਦਾ ਹੈ।

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe ਨਾਮ ਉਪਲਬਧਤਾ ਦੀ ਚੋਣ ਦੱਸਦਾ ਹੈ, ਇਹ ਗਾਰੰਟੀ ਨਹੀਂ ਕਿ ਹਰ ਸਵੀਕਾਰ ਕੀਤੇ ਸੈਸ਼ਨ ਵਿੱਚ ਨਵਾਂ ਦੂਜਾ ਕਾਰਕ ਸੀ। ਉਹ ਵਾਕ ਜੋਖਮ ਰਜਿਸਟਰ ਵਿੱਚ ਜਾਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਸੈਟਿੰਗ ਠੀਕ ਇਹੀ ਵਟਾਂਦਰਾ ਕਰਦੀ ਹੈ। ਮੁੱਲ ਨੂੰ ਕਿਸੇ ਹੋਰ ਪ੍ਰਦਾਤਾ, ਹੋਰ ਏਕੀਕਰਨ ਜਾਂ ਵੱਖਰੇ ਪ੍ਰੌਕਸੀ ਮੋਡ ਤੱਕ ਆਮ ਨਾ ਕਰੋ; ਉਸ ਉਤਪਾਦ ਦੇ ਆਪਣੇ ਬਰਾਬਰ ਲਈ ਉਸ ਦੇ ਦਸਤਾਵੇਜ਼ ਪੜ੍ਹੋ। ਇਸ ਸਮਝ ਤੋਂ ਬਿਨਾਂ ਵਿਕਰੇਤਾ ਦੀ ਉਦਾਹਰਨ ਤੋਂ ਕਾਪੀ ਕੀਤੀ ਕਨਫਿਗਰੇਸ਼ਨ ਅਗਲੀ ਰੁਕਾਵਟ ਦੀ ਉਡੀਕ ਕਰਨ ਵਾਲਾ ਹੈਰਾਨੀ ਹੈ।

ਜੇ ਕੋਈ ਨਹੀਂ ਦੱਸ ਸਕਦਾ ਕਿ ਕਿਹੜਾ ਮੋਡ ਸਰਗਰਮ ਹੈ ਤਾਂ ਰੁਕੋ। ਮਾਰਗਦਰਸ਼ਕ ਦਾ ਬਾਕੀ ਹਿੱਸਾ ਉਸੇ ਜਵਾਬ ’ਤੇ ਨਿਰਭਰ ਹੈ।

ਕਦਮ 3: ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ਾਂ ਨੂੰ ਪ੍ਰਵਾਹ ਨਾਲ ਮਿਲਾਓ

ਗੇਟਵੇ ਦੇ ਸਮਾਂ-ਖ਼ਤਮ ਅਤੇ ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ ਦੇ ਵਿਵਹਾਰ ਨੂੰ ਉਸ ਪ੍ਰਮਾਣਿਕਤਾ ਪ੍ਰਵਾਹ ਨਾਲ ਮਿਲਾਓ ਜੋ ਇਹ ਚਲਾ ਰਿਹਾ ਹੈ। ਬਿਨਾਂ ਤਾਲਮੇਲ ਵਾਲੀਆਂ ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ਾਂ ਕਈ ਪ੍ਰੋਂਪਟ ਬਣਾਉਂਦੀਆਂ ਹਨ, ਕੋਸ਼ਿਸ਼ ਮਿਲਾਨ ਨੂੰ ਉਲਝਾਉਂਦੀਆਂ ਹਨ ਅਤੇ ਲਾਗ ਨੂੰ ਇਹ ਦੱਸਣ ਤੋਂ ਅਸਮਰੱਥ ਛੱਡ ਦਿੰਦੀਆਂ ਹਨ ਕਿ ਕਿਹੜਾ ਨਤੀਜਾ ਕਿਸ ਲਾਗਇਨ ਦਾ ਹੈ। ਬਹੁਤ ਲੰਬਾ ਸਮਾਂ-ਖ਼ਤਮ ਉਪਲਬਧਤਾ ਦਾ ਡਿਜ਼ਾਈਨ ਨਹੀਂ ਹੈ; ਇਹ ਉਸੇ ਜਵਾਬ ਲਈ ਲੰਮੀ ਉਡੀਕ ਹੈ।

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

ਪ੍ਰੌਕਸੀ ਦਾ ਆਪਣਾ ਬੇਨਤੀ-ਸਮਾਂ-ਖ਼ਤਮ ਵੱਖਰੀ ਹੱਦ ਹੈ: ਜਾਰੀ ਕੀਤੀ ਅਤੇ ਕਦੇ ਪੂਰੀ ਨਾ ਹੋਣ ਵਾਲੀ ਪ੍ਰਮਾਣਿਕਤਾ ਬੇਨਤੀ ਰੱਦ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਉਹ ਰੱਦ ਉਹ ਰੁਕਾਵਟ ਨਹੀਂ ਜਿਸ ਤੋਂ ਪਿੱਛੇ ਹਟਿਆ ਜਾਵੇ। ਰੱਦ, ਅਧੂਰੀ ਚੁਣੌਤੀ ਅਤੇ ਅਣਪਹੁੰਚ ਸੇਵਾ ਨੂੰ ਆਪਣੀ ਫੈਸਲਾ-ਸਾਰਣੀ ਦੇ ਤਿੰਨ ਵੱਖਰੇ ਇਨਪੁਟ ਵਜੋਂ ਲਓ। ਫਿਰ ਸਾਰਣੀ ਨੂੰ ਸਪਸ਼ਟ ਕਰੋ: ਕਿਹੜੀ ਅਵਸਥਾ ਪ੍ਰਵੇਸ਼ ਦਿੰਦੀ ਹੈ, ਕਿਹੜੀ ਅਵਸਥਾ ਰੋਕਦੀ ਹੈ ਅਤੇ ਕਿਹੜੀ ਅਵਸਥਾ ਕਿਸੇ ਇਨਸਾਨ ਤੱਕ ਐਸਕਲੇਟ ਹੁੰਦੀ ਹੈ।

ਜੇ ਦੋ ਹਿੱਸੇ ਦੋਵੇਂ ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹਨ, ਤਾਂ ਪਹਿਲਾਂ ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ ਦੀ ਮਾਲਕੀ ਠੀਕ ਕਰੋ। ਦੋਹਰੇ ਪ੍ਰੋਂਪਟ ਦੋ ਮਾਲਕਾਂ ਦਾ ਲੱਛਣ ਹਨ, ਹੌਲੀ ਸੇਵਾ ਦਾ ਨਹੀਂ।

ਕਦਮ 4: ਐਮਰਜੈਂਸੀ ਪਹੁੰਚ ਨੂੰ ਵੱਖਰੇ ਤੌਰ ’ਤੇ ਸੰਭਾਲੋ

ਜੇ ਐਮਰਜੈਂਸੀ ਪਹੁੰਚ ਦੀ ਲੋੜ ਹੈ ਤਾਂ ਇਸਨੂੰ ਆਪਣਾ ਦਾਇਰਾ, ਪਛਾਣ, ਅਧਿਕਾਰ ਅਤੇ ਆਡਿਟ ਟ੍ਰੇਲ ਦਿਓ। ਸਾਰੇ ਵਰਤੋਂਕਾਰਾਂ ਲਈ MFA ਚੁੱਪਚਾਪ ਬੰਦ ਕਰਨਾ ਐਮਰਜੈਂਸੀ ਕਾਰਵਾਈ ਨਹੀਂ ਹੈ; ਇਹ ਘਟਨਾ ਨਾਲ ਜੁੜੀ ਸਥਾਈ ਕਮਜ਼ੋਰੀ ਹੈ। ਸੁਰੱਖਿਆ ਮਾਲਕ ਪ੍ਰਵੇਸ਼ ਨਿਯਮ, ਦਿੱਖ ਅਤੇ ਐਸਕਲੇਸ਼ਨ ਮਾਰਗ ਨੂੰ ਪਹਿਲਾਂ ਹੀ ਮਨਜ਼ੂਰੀ ਦਿੰਦਾ ਹੈ।

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

ਗੈਰ-ਉਤਪਾਦਨ ਵਾਤਾਵਰਨ ਵਿੱਚ ਪੂਰਾ ਮੈਟ੍ਰਿਕਸ ਜਾਂਚੋ: ਮੁੱਢਲੀ ਫੇਲ੍ਹ, ਜਾਣਬੁੱਝ ਕੇ ਰੱਦ, ਚੁਣੌਤੀ ਦਾ ਸਮਾਂ ਖ਼ਤਮ ਅਤੇ ਸੇਵਾ ਦੀ ਅਣਉਪਲਬਧਤਾ। ਹਰ ਇੱਕ ਲਈ ਪ੍ਰਵੇਸ਼ ਨਤੀਜਾ ਅਤੇ ਲਾਗ ਵਿੱਚ ਲਿਖਿਆ ਕਾਰਨ ਦਰਜ ਕਰੋ। ਸੈੱਟ ਕੀਤੇ ਵਿਵਹਾਰ ਨੂੰ ਲੱਭਣ ਲਈ ਉਤਪਾਦਨ ਵਿੱਚ ਰੁਕਾਵਟ ਨਾ ਬਣਾਓ, ਅਤੇ ਜਿਸ ਘਟਨਾ ਲਈ ਐਮਰਜੈਂਸੀ ਮਾਰਗ ਲਿਖਿਆ ਗਿਆ ਹੈ ਉਸੇ ਦੌਰਾਨ ਪਹਿਲੀ ਵਾਰ ਉਸ ਦੀ ਜਾਂਚ ਨਾ ਕਰੋ। ਕਦੇ ਨਾ ਚੱਲੀ ਰਿਕਵਰੀ ਕਾਰਵਾਈ ਦਸਤਾਵੇਜ਼ ਹੈ, ਨਿਯੰਤਰਣ ਨਹੀਂ।

ਮਾਰਗਦਰਸ਼ਕ ਤਦ ਖ਼ਤਮ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਤਿੰਨ ਅਵਸਥਾਵਾਂ ਦੇ ਨਾਮ ਰੱਖੇ ਜਾਂਦੇ ਹਨ, ਫੇਲ੍ਹ ਮੋਡ ਚੱਲ ਰਹੇ ਸਿਸਟਮ ਤੋਂ ਪੜ੍ਹਿਆ ਜਾਂਦਾ ਹੈ, ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ਾਂ ਦਾ ਇੱਕ ਮਾਲਕ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਐਮਰਜੈਂਸੀ ਪਹੁੰਚ ਦੀ ਆਪਣੀ ਮਨਜ਼ੂਰੀ ਅਤੇ ਸਮੀਖਿਆ ਹੁੰਦੀ ਹੈ। ਭਵਿੱਖਬਾਣੀਯ ਲਾਗੂਆਈ ਅਤੇ ਜਾਣਿਆ ਰਿਕਵਰੀ ਮਾਰਗ ਹੀ ਦਸਤਾਵੇਜ਼ ਕਰਨ ਯੋਗ ਨਤੀਜਾ ਹੈ।