Storitev MFA je padla: odločite o dostopu VPN vnaprej

Dostop VPN se ustavi, opozorilo pa pravi, da storitev drugega dejavnika ni dosegljiva. Ali se lahko kdo še poveže, je vprašanje politike, na katero bi bilo treba odgovoriti pred izpadom, ne med njim. Nedosegljiv preverjevalec ni dokaz, da je dejavnik uspel, zavrnjen izziv pa ni isti dogodek kot nedosegljiv. Spodnje navodilo spremeni to razliko v pisno pravilo, ki ga lahko preizkusite.

Korak 1: poimenujte tri izide ločeno

Zapišite tri stanja in zavrnite njihovo združevanje: primarna avtentikacija ni uspela, izziv drugega dejavnika je bil zavrnjen ali je potekel, storitev MFA pa ni nikoli odgovorila. Vsako ima drugega lastnika, drugo vrstico v dnevniku in drugačen pravilen odziv. Eno splošno sporočilo o poteku časa skrije, v katerem ste, in prav ta dvoumnost spremeni izpad v prepir. Poimenujte stanja v navodilu, preden jih potrebujete.

Zavrnitev pomeni, da je preverjevalec odgovoril in rekel ne, kar je izid politike, ne težava razpoložljivosti. Potekel poskus pomeni, da je izziv obstajal in ga nihče ni pravočasno dokončal. Nedosegljiva storitev pomeni, da na vprašanje sploh ni bilo odgovora. Samo tretji je izpad.

Korak 2: preberite način odpovedi, ki ga proxy dejansko uporablja

Poiščite nastavitev, ki upravlja vedenje, ko storitve ni mogoče kontaktirati, in jo preberite iz delujoče konfiguracije, ne iz predloge. V proxyju RADIUS podjetja Duo so dokumentirane vrednosti failmode safe in secure, pri čemer safe dovoli poskus le, ko primarna avtentikacija uspe, secure pa poskus v tem pogoju zavrne.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Ime safe opisuje izbiro razpoložljivosti, ne zagotovila, da je imela vsaka sprejeta seja svež drugi dejavnik. Ta stavek sodi v register tveganj, ker je natanko tista menjava, ki jo nastavitev naredi. Vrednosti ne posplošujte na drugega ponudnika, drugo integracijo ali drug način proxyja; preberite dokumentacijo tega izdelka za njegov lastni ekvivalent. Konfiguracija, kopirana iz primera dobavitelja brez tega razumevanja, je presenečenje, ki čaka na naslednji izpad.

Ustavite se, če nihče ne more reči, kateri način je aktiven. Preostanek navodila je odvisen od tega odgovora.

Korak 3: uskladite ponovitve s tokom

Uskladite časovno omejitev in vedenje pri ponovitvah prehoda s tokom avtentikacije, ki ga vodi. Neusklajene ponovitve ustvarijo več zahtev, zmedejo ujemanje poskusov in pustijo dnevnik brez zmožnosti povedati, kateri izid pripada kateri prijavi. Zelo dolga časovna omejitev ni zasnova razpoložljivosti; je daljše čakanje na enak odgovor.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Lastna časovna omejitev zahteve pri proxyju je ločena meja: zahteva za avtentikacijo, ki je izdana in nikoli dokončana, je zavrnjena, in ta zavrnitev ni izpad, s katerega se umakne. Obravnavajte zavrnitev, nedokončan izziv in nedosegljivo storitev kot tri različne vhode v svojo odločitveno tabelo. Nato tabelo naredite izrecno: katero stanje spusti, katero stanje zadrži in katero stanje se stopnjuje k človeku.

Če oba komponenta ponavljata poskus, najprej popravite lastništvo ponovitev. Podvojene zahteve so simptom dveh lastnikov, ne počasne storitve.

Korak 4: zasilni dostop upravljajte ločeno

Če je zasilni dostop potreben, mu dajte lasten obseg, identiteto, pooblastilo in revizijsko sled. Tiho onemogočanje MFA za vse uporabnike ni zasilni postopek; je trajno slabitev s priloženim incidentom. Lastnik varnosti vnaprej odobri pravilo dostopa, vidnost in pot stopnjevanja.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Preizkusite celotno matriko v neprodukcijskem okolju: primarno napako, namerno zavrnitev, potek izziva in nedosegljivost storitve. Za vsako zapišite izid dostopa in razlog, ki je bil zabeležen. Ne ustvarjajte produkcijskega izpada, da bi odkrili nastavljeno vedenje, in ne preizkušajte zasilne poti prvič med incidentom, za katerega je bila napisana. Postopek obnovitve, ki se ni nikoli izvedel, je dokument, ne kontrola.

Navodilo se konča, ko so tri stanja poimenovana, način odpovedi prebran iz delujočega sistema, ponovitve imajo enega lastnika in zasilni dostop ima svoje odobritve in pregled. Predvidljivo izvajanje in znana pot obnovitve je izid, ki ga je vredno dokumentirati.