MFA hizmeti çöktü: VPN erişimine önceden karar verin

VPN erişimi durur ve uyarı ikinci faktör hizmetine erişilemediğini söyler. Birinin hâlâ bağlanıp bağlanamayacağı, kesintiden önce yanıtlanması gereken bir politika sorusudur, kesinti sırasında değil. Kullanılamayan bir doğrulayıcı, bir faktörün geçtiğinin kanıtı değildir ve reddedilen bir meydan okuma, erişilemeyenle aynı olay değildir. Aşağıdaki kılavuz bu ayrımı test edebileceğiniz yazılı bir kurala dönüştürür.

Adım 1: üç sonucu ayrı ayrı adlandırın

Üç durum yazın ve bunları birleştirmeyi reddedin: birincil kimlik doğrulama başarısız oldu, ikinci faktör meydan okuması reddedildi veya süresi doldu ve MFA hizmeti hiç yanıt vermedi. Her birinin farklı sahibi, farklı günlük satırı ve farklı doğru yanıtı vardır. Tek bir genel zaman aşımı mesajı hangisinde olduğunuzu gizler ve kesintiyi tartışmaya çeviren tam da bu belirsizliktir. Durumları ihtiyaç duymadan önce kılavuzda adlandırın.

Ret, doğrulayıcının yanıt verip hayır dediği anlamına gelir; bu bir politika sonucudur, kullanılabilirlik sorunu değildir. Süresi dolmuş deneme, meydan okumanın var olduğu ve kimsenin zamanında tamamlamadığı anlamına gelir. Erişilemeyen hizmet, sorunun hiç yanıtlanmadığı anlamına gelir. Yalnızca üçüncüsü kesintidir.

Adım 2: proxy'nin gerçekte kullandığı hata modunu okuyun

Hizmete ulaşılamadığında davranışı yöneten ayarı bulun ve onu şablondan değil çalışan yapılandırmadan okuyun. Duo'nun RADIUS proxy'sinde belgelenmiş failmode değerleri safe ve secure'dir; safe yalnızca birincil kimlik doğrulama başarılı olduğunda denemeye izin verir, secure ise bu koşulda denemeyi reddeder.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe adı bir kullanılabilirlik tercihini tanımlar, kabul edilen her oturumun taze bir ikinci faktörü olduğu garantisi değildir. O cümle risk kaydına aittir, çünkü ayarın yaptığı tam olarak bu takastır. Değeri başka bir sağlayıcıya, başka bir entegrasyona veya farklı bir proxy moduna genellemeyin; o ürünün kendi eşdeğeri için belgelerini okuyun. Bu anlayış olmadan bir satıcı örneğinden kopyalanan yapılandırma, bir sonraki kesintiyi bekleyen bir sürprizdir.

Hangi modun etkin olduğunu kimse söyleyemiyorsa durun. Kılavuzun geri kalanı bu yanıta bağlıdır.

Adım 3: yeniden denemeleri akışla eşleştirin

Ağ geçidinin zaman aşımını ve yeniden deneme davranışını sürdüğü kimlik doğrulama akışıyla hizalayın. Koordine edilmemiş yeniden denemeler birden çok istem oluşturur, deneme eşleştirmesini karıştırır ve günlüğü hangi sonucun hangi oturum açmaya ait olduğunu söyleyemez halde bırakır. Çok uzun bir zaman aşımı kullanılabilirlik tasarımı değildir; aynı yanıt için daha uzun bir bekleyiştir.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Proxy'nin kendi istek zaman aşımı ayrı bir sınırdır: yayımlanan ve hiç tamamlanmayan kimlik doğrulama isteği reddedilir ve bu ret geri çekilebilecek bir kesinti değildir. Bir reddi, tamamlanmamış bir meydan okumayı ve erişilemeyen bir hizmeti karar tablonuza üç farklı girdi olarak alın. Sonra tabloyu açık hale getirin: hangi durum kabul eder, hangi durum tutar ve hangi durum bir insana yükseltilir.

İki bileşen de yeniden deniyorsa önce yeniden denemelerin sahipliğini düzeltin. Yinelenen istemler iki sahibin belirtisidir, yavaş hizmetin değil.

Adım 4: acil erişimi ayrı yönetin

Acil erişim gerekiyorsa ona kendi kapsamını, kimliğini, yetkilendirmesini ve denetim izini verin. Tüm kullanıcılar için MFA'yı sessizce kapatmak acil bir prosedür değildir; olaya bağlı kalıcı bir zayıflatmadır. Güvenlik sahibi kabul kuralını, görünürlüğü ve yükseltme yolunu önceden onaylar.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Tüm matrisi üretim dışı bir ortamda test edin: birincil hata, kasıtlı ret, meydan okumanın süresinin dolması ve hizmetin kullanılamaması. Her biri için kabul sonucunu ve günlüğe yazılan nedeni kaydedin. Yapılandırılmış davranışı keşfetmek için üretim kesintisi yaratmayın ve acil yolu, onun için yazıldığı olay sırasında ilk kez test etmeyin. Hiç çalıştırılmamış bir kurtarma prosedürü bir belgedir, kontrol değil.

Kılavuz, üç durum adlandırıldığında, hata modu çalışan sistemden okunduğunda, yeniden denemelerin tek sahibi olduğunda ve acil erişimin kendi onayı ve incelemesi olduğunda biter. Öngörülebilir uygulama artı bilinen bir kurtarma yolu, belgelenmeye değer sonuçtur.