د MFA خدمت بند شو: د VPN ننوتلو پرېکړه مخکې وکړئ

د VPN ننوتل درېږي، او خبرتیا وایي چې د دویم فاکتور خدمت نه‌رسېدونکی دی۔ دا چې آیا څوک لا هم نښلېدلای شي، د پالیسۍ پوښتنه ده چې باید د بندښت مخکې ځواب شوې وای، نه د هغه پر مهال۔ نه‌شتونکی تصدیق کوونکی د دې ثبوت نه دی چې فاکتور تېر شوی، او رد شوې ننګون د نه‌رسېدونکې ننګون په څېر هماغه پېښه نه ده۔ لاندې لارښود دا توپیر په لیکلې قاعده بدلوي چې تاسو یې ازموینه کولای شئ۔

ګام 1: درې پایلې جلا ونومئ

درې حالتونه ولیکئ او د یوځای کولو انکار وکړئ: لومړنی تصدیق ناکام شو، د دویم فاکتور ننګون رد شو یا وخت یې پای ته ورسېد، او MFA خدمت هیڅکله ځواب نه ورکړ۔ هر یو خپل مالک، خپله لاګ کرښه او خپل سم ځواب لري۔ یو عمومي د وخت پای پیغام پټوي چې تاسو په کوم کې یاست، او همدا ابهام بندښت په بحث بدلوي۔ حالتونه په لارښود کې مخکې له دې چې ورته اړتیا ولرئ ونومئ۔

رد یعنی تصدیق کوونکي ځواب ورکړ او نه یې وویل، چې دا د پالیسۍ پایله ده نه د لاسرسي ستونزه۔ پای ته رسېدلې هڅه یعنی ننګون موجود و او چا په وخت کې نه بشپړ کړ۔ نه‌رسېدونکی خدمت یعنی پوښتنې ته هیڅ ځواب نه و ورکړل شوی۔ یوازې درېیم بندښت دی۔

ګام 2: هغه ناکامي حالت ولولئ چې پروکسي یې واقعاً کاروي

هغه تنظیم ومومئ چې کله خدمت سره اړیکه نشي کېدای، چلند کنټرولوي، او له چلېدونکې ترتیباتو یې ولولئ نه له کالبو۔ په Duo د RADIUS پروکسي کې مستند failmode ارزښتونه safe او secure دي، چېرې چې safe یوازې هغه وخت هڅې ته اجازه ورکوي چې لومړنی تصدیق بریالی شي، او secure په هغه حالت کې هڅه ردوي۔

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

د safe نوم د لاسرسي انتخاب بیانوي، نه دا تضمین چې هر منل شوی کړنه تازه دویم فاکتور درلود۔ هغه جمله د خطر ثبت ته ځي، ځکه چې دا هغه سم تبادله ده چې تنظیم یې کوي۔ ارزښت بل عرضه کوونکي، بل ادغام یا بل پروکسي حالت ته مه عمومي کوئ؛ د هغه محصول خپل معادل لپاره د هغه اسناد ولولئ۔ پرته له دې پوهاوي د پلورونکي له بېلګې څخه کاپي شوې ترتیبات یو حیرانتیا ده چې بل بندښت ته انتظار کوي۔

که چا ونه ویلای شو چې کوم حالت فعال دی، ودروئ۔ د لارښود پاتې برخه پر هماغه ځواب ولاړه ده۔

ګام 3: بیا هڅې له بهیر سره برابرې کړئ

د ګېټوې د وخت پای او د بیا هڅې چلند له هغه تصدیق بهیر سره برابر کړئ چې دا یې چلوي۔ ناهمغږې بیا هڅې څو غوښتنې جوړوي، د هڅو پرتله کول ګډوډوي او لاګ پر دې نه توانېږي چې ووایي کومه پایله د کوم ننوتلو ده۔ ډېر اوږد د وخت پای د لاسرسي ډیزاین نه دی؛ دا د هماغه ځواب لپاره اوږده تمه ده۔

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

د پروکسي خپل د غوښتنې وخت پای جلا حد دی: هغه تصدیق غوښتنه چې صادریږي او هیڅکله نه بشپړیږي رد کیږي، او هغه رد داسې بندښت نه دی چې ترې شاتګ وشي۔ رد، نیمګړې ننګون او نه‌رسېدونکی خدمت د خپلې پرېکړې جدول لپاره درې جلا ننوتل وګڼئ۔ بیا جدول روښانه کړئ: کوم حالت اجازه ورکوي، کوم حالت نیسي او کوم حالت انسان ته پورته کیږي۔

که دوه برخې دواړه بیا هڅه وکړي، لومړی د بیا هڅو مالکیت سم کړئ۔ دوه ځله غوښتنې د دوو مالکانو نښه ده، نه د ورو خدمت۔

ګام 4: بیړني لاسرسي جلا اداره کړئ

که بیړنی لاسرسی اړین وي، هغه ته خپله حوزه، هویت، اجازه او د پوښتنلیک پټه لار ورکړئ۔ د ټولو کاروونکو لپاره MFA په غلې اوږه بندول بیړنۍ پروسه نه ده؛ دا یو تلپاتې کمزورتیا ده چې پېښه ورسره تړلې ده۔ د امنیت مالک د ننوتلو قاعده، لیدل او د پورته کېدو لار مخکې تصویبوي۔

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

ټول میټریکس په غیر تولیدي چاپېریال کې وآزموئ: لومړنی ناکامي، قصدي رد، د ننګون د وخت پای او د خدمت نه‌شتون۔ د هر یوه لپاره د ننوتلو پایله او هغه دلیل چې په لاګ کې لیکل شوی ثبت کړئ۔ د ترتیب شوي چلند موندلو لپاره تولیدي بندښت مه جوړوئ، او بیړنۍ لاره لومړی ځل د هغې پېښې پر مهال چې د هغې لپاره لیکل شوې ده مه آزموئ۔ هغه بیا رغونه پروسه چې هیڅکله نه ده چلېدلې سند ده، کنټرول نه۔

لارښود هغه وخت پای ته رسیږي چې درې حالتونه نومول شوي، ناکامي حالت له چلېدونکي سیستم څخه لوستل شوی، بیا هڅې یو مالک لري، او بیړني لاسرسي خپل تصویب او بیاکتنه لري۔ د وړاندوینې وړ پلي کول او یوه پېژندل شوې بیا رغونه لار هغه پایله ده چې د ثبتولو وړ ده۔