MFA xizmati ishlamay qoldi: VPN kirishini oldindan hal qiling

VPN kirishi to'xtaydi va ogohlantirish ikkinchi omil xizmatiga erishib bo'lmasligini aytadi. Yana kimdir ulanishi mumkinmi degan savol uzilishdan oldin javob berilishi kerak bo'lgan siyosat savolidir, uzilish paytida emas. Mavjud bo'lmagan tasdiqlovchi omil o'tganining dalili emas, rad etilgan chaqiruv esa erishib bo'lmaydigan chaqiruv bilan bir hodisa emas. Quyidagi qo'llanma bu farqni sinab ko'rishingiz mumkin bo'lgan yozma qoidaga aylantiradi.

1-qadam: uchta natijani alohida nomlang

Uchta holatni yozing va ularni birlashtirishdan bosh torting: asosiy autentifikatsiya muvaffaqiyatsiz tugadi, ikkinchi omil chaqiruvi rad etildi yoki muddati tugadi va MFA xizmati hech qachon javob bermadi. Har birining o'z egasi, o'z jurnal satri va o'z to'g'ri javobi bor. Bitta umumiy vaqt tugashi xabari qaysi birida ekaningizni yashiradi va aynan shu noaniqlik uzilishni bahsga aylantiradi. Holatlarni kerak bo'lishidan oldin qo'llanmada nomlang.

Rad etish tasdiqlovchi javob berib yo'q dedi degani, bu siyosat natijasi, mavjudlik muammosi emas. Muddati o'tgan urinish chaqiruv bor edi va hech kim uni vaqtida tugatmadi degani. Erishib bo'lmaydigan xizmat savolga umuman javob berilmaganini bildiradi. Faqat uchinchisi uzilish.

2-qadam: proksi aslida ishlatadigan nosozlik rejimini o'qing

Xizmat bilan bog'lanib bo'lmaydigan paytda xatti-harakatni boshqaradigan sozlamani toping va uni shablondan emas, ishlab turgan konfiguratsiyadan o'qing. Duo RADIUS proksisida hujjatlashtirilgan failmode qiymatlari safe va secure bo'lib, bunda safe faqat asosiy autentifikatsiya muvaffaqiyatli bo'lganda urinishga ruxsat beradi, secure esa bu shartda urinishni rad etadi.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe nomi mavjudlik tanlovini tavsiflaydi, har bir qabul qilingan sessiyada yangi ikkinchi omil bo'lganiga kafolat emas. Bu gap xavflar reyestriga tegishli, chunki sozlama aynan shu almashinuvni amalga oshiradi. Qiymatni boshqa provayderga, boshqa integratsiyaga yoki boshqa proksi rejimiga umumlashtirmang; o'sha mahsulotning o'z ekvivalenti uchun uning hujjatlarini o'qing. Bu tushunchasiz sotuvchi misolidan ko'chirilgan konfiguratsiya keyingi uzilishni kutayotgan syurprizdir.

Qaysi rejim faol ekanini hech kim ayta olmasa, to'xtang. Qo'llanmaning qolgan qismi shu javobga bog'liq.

3-qadam: qayta urinishlarni oqimga moslang

Darvoza vaqt tugashi va qayta urinish xatti-harakatini u boshqarayotgan autentifikatsiya oqimiga moslang. Muvofiqlashtirilmagan qayta urinishlar bir nechta so'rov yaratadi, urinishlarni solishtirishni chalkashtiradi va jurnalga qaysi natija qaysi kirishga tegishli ekanini aytish imkonini bermaydi. Juda uzoq vaqt tugashi mavjudlik dizayni emas; bu xuddi shu javobni uzoqroq kutish.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Proksining o'z so'rov vaqt tugashi alohida chegara: berilgan va hech qachon tugallanmagan autentifikatsiya so'rovi rad etiladi va bu rad etish orqaga chekinadigan uzilish emas. Rad etish, tugallanmagan chaqiruv va erishib bo'lmaydigan xizmatni qaror jadvalingizga uch xil kirish sifatida qabul qiling. Keyin jadvalni aniq qiling: qaysi holat kiritadi, qaysi holat ushlab turadi va qaysi holat insonga eskalatsiya qilinadi.

Agar ikki komponent ikkalasi ham qayta urinsa, avval qayta urinishlar egaligini tuzating. Takroriy so'rovlar ikki egaga xos belgi, sekin xizmatga emas.

4-qadam: shoshilinch kirishni alohida boshqaring

Agar shoshilinch kirish kerak bo'lsa, unga o'z qamrovini, shaxsini, ruxsatini va audit izini bering. Barcha foydalanuvchilar uchun MFA ni jimgina o'chirish shoshilinch tartib emas; bu hodisa bilan bog'langan doimiy zaiflashtirish. Xavfsizlik egasi kirish qoidasini, ko'rinishni va eskalatsiya yo'lini oldindan tasdiqlaydi.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Butun matritsani ishlab chiqarishdan tashqari muhitda sinang: asosiy muvaffaqiyatsizlik, qasddan rad etish, chaqiruv muddatining tugashi va xizmatning mavjud emasligi. Har biri uchun kirish natijasini va jurnalga yozilgan sababni qayd eting. Sozlangan xatti-harakatni bilish uchun ishlab chiqarish uzilishini yaratmang va shoshilinch yo'lni u uchun yozilgan hodisa paytida birinchi marta sinamang. Hech qachon ishga tushirilmagan tiklash tartibi hujjat, nazorat emas.

Qo'llanma uchta holat nomlanganda, nosozlik rejimi ishlab turgan tizimdan o'qilganda, qayta urinishlarning bitta egasi bo'lganda va shoshilinch kirishning o'z tasdig'i va ko'rib chiqilishi bo'lganda tugaydi. Bashorat qilinadigan ijro va ma'lum tiklanish yo'li hujjatlashtirishga arziydigan natijadir.