Shërbimi MFA ra: vendosni aksesin VPN përpara dështimit

Aksesi VPN ndalon, dhe alarmi thotë se shërbimi i faktorit të dytë është i paarritshëm. Nëse dikush ende mund të lidhet është një pyetje politike që duhej përgjigjur përpara ndërprerjes, jo gjatë saj. Një verifikues i padisponueshëm nuk është provë që një faktor kaloi, dhe një sfidë e refuzuar nuk është i njëjti ngjarje me një të paarritshme. Udhëzuesi më poshtë e kthen atë dallim në një rregull të shkruar që mund ta provoni.

Hapi 1: emërtoni tre rezultatet veçmas

Shkruani tre gjendje dhe refuzoni t’i bashkoni: vërtetimi primar dështoi, sfida e faktorit të dytë u refuzua ose skadoi, dhe shërbimi MFA nuk u përgjigj kurrë. Secila ka një pronar tjetër, një rresht tjetër log dhe një përgjigje tjetër të saktë. Një mesazh i vetëm i përgjithshëm për skadimin e kohës fsheh në cilën ndodheni, dhe pikërisht ajo paqartësi e kthen një ndërprerje në një debat. Emërtoni gjendjet në udhëzues përpara se t’ju duhen.

Refuzimi do të thotë që verifikuesi u përgjigj dhe tha jo, që është një rezultat politike dhe jo një problem disponueshmërie. Një përpjekje e skaduar do të thotë që sfida ekzistonte dhe askush nuk e përfundoi në kohë. Një shërbim i paarritshëm do të thotë që pyetjes nuk iu përgjigj fare. Vetëm i treti është ndërprerje.

Hapi 2: lexoni mënyrën e dështimit që proxy përdor vërtet

Gjeni cilësimin që drejton sjelljen kur shërbimi nuk mund të kontaktohet, dhe lexojeni nga konfigurimi që po ekzekutohet, jo nga një shabllon. Në proxy-n RADIUS të Duo, vlerat e dokumentuara të failmode janë safe dhe secure, ku safe lejon një përpjekje vetëm kur vërtetimi primar ka sukses, dhe secure e refuzon përpjekjen në atë kusht.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Emri safe përshkruan një zgjedhje disponueshmërie, jo një garanci që çdo sesion i pranuar kishte një faktor të dytë të freskët. Ajo fjali i përket regjistrit të rrezikut, sepse është pikërisht shkëmbimi që bën cilësimi. Mos e përgjithësoni vlerën për një ofrues tjetër, një integrim tjetër ose një mënyrë tjetër proxy; lexoni dokumentacionin e atij produkti për ekuivalentin e vet. Një konfigurim i kopjuar nga një shembull furnizuesi pa këtë kuptim është një surprizë që pret ndërprerjen tjetër.

Ndaleni nëse askush nuk mund të thotë cila mënyrë është aktive. Pjesa tjetër e udhëzuesit varet nga ai përgjigje.

Hapi 3: përafroni ripërpjekjet me rrjedhën

Përafroni afatin kohor dhe sjelljen e ripërpjekjes së portës me rrjedhën e vërtetimit që ajo drejton. Ripërpjekjet e pakoordinuara krijojnë disa kërkesa, ngatërrojnë përputhjen e përpjekjeve dhe e lënë log-un të paaftë të thotë se cili rezultat i përket cilit hyrje. Një afat shumë i gjatë nuk është dizajn disponueshmërie; është një pritje më e gjatë për të njëjtën përgjigje.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Afati i kërkesës së vetë proxy-t është një kufi i veçantë: një kërkesë vërtetimi që lëshohet dhe nuk përfundon kurrë refuzohet, dhe ai refuzim nuk është një ndërprerje nga e cila tërhiqesh. Trajtoni një refuzim, një sfidë të papërfunduar dhe një shërbim të paarritshëm si tre hyrje të ndryshme në tabelën tuaj të vendimeve. Pastaj bëni tabelën të qartë: cila gjendje pranon, cila gjendje mban dhe cila gjendje eskalohet tek një njeri.

Nëse dy komponentë të dy ripërpiqen, rregulloni së pari pronësinë e ripërpjekjeve. Kërkesat e dyfishta janë simptomë e dy pronarëve, jo e një shërbimi të ngadaltë.

Hapi 4: drejtoni aksesin e urgjencës veçmas

Nëse kërkohet akses urgjence, jepini shtrirjen, identitetin, autorizimin dhe gjurmën e auditimit të vet. Çaktivizimi në heshtje i MFA për të gjithë përdoruesit nuk është procedurë urgjence; është një dobësim i përhershëm me një incident të bashkangjitur. Pronari i sigurisë miraton paraprakisht rregullin e pranimit, dukshmërinë dhe rrugën e eskalimit.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Testoni të gjithë matricën në një mjedis që nuk është prodhim: dështim primar, refuzim i qëllimshëm, skadim i sfidës dhe padisponueshmëri e shërbimit. Për secilin, regjistroni rezultatin e pranimit dhe arsyen që u regjistrua. Mos krijoni një ndërprerje prodhimi për të zbuluar sjelljen e konfiguruar, dhe mos e testoni rrugën e urgjencës për herë të parë gjatë incidentit për të cilin u shkrua. Një procedurë rikuperimi që nuk është ekzekutuar kurrë është një dokument, jo një kontroll.

Udhëzuesi përfundon kur tre gjendjet janë emërtuar, mënyra e dështimit lexohet nga sistemi që ekzekutohet, ripërpjekjet kanë një pronar dhe aksesi i urgjencës ka miratimin dhe rishikimin e vet. Zbatimi i parashikueshëm plus një rrugë e njohur rikuperimi është rezultati që ia vlen të dokumentohet.