Iṣẹ́ MFA ti já: pinnu ààyè VPN ṣáájú kí ó tó kùnà

Ààyè VPN dúró, ìkìlọ̀ sì sọ pé a kò lè débà iṣẹ́ kókó kejì. Bóyá ẹnìkan ṣì lè so pọ̀ jẹ́ ìbéèrè ìlànà tí ó yẹ kí a ti dáhùn ṣáájú ìdánuṣe náà, kì í ṣe ní àárín rẹ̀. Olùdánilójú tí kò sí kì í ṣe ẹ̀rí pé kókó kan ti kọjá, àti ìpèníjà tí a kọ̀ kì í ṣe ìṣẹ̀lẹ̀ kan náà pẹ̀lú èyí tí a kò lè débà. Ìtọ́sọ́nà ní ìsàlẹ̀ yí ìyàtọ̀ yẹn padà sí òfin tí a kọ sílẹ̀ tí o lè dán wò.

Ìgbésẹ̀ 1: dárúkọ àwọn àbájáde mẹ́ta lọ́tọ̀ọ̀tọ̀

Kọ àwọn ipò mẹ́ta kí o sì kọ̀ láti dà wọ́n pọ̀: ìjẹ́rìí àkọ́kọ́ kùnà, a kọ̀ ìpèníjà kókó kejì tàbí kí ó parí, àti iṣẹ́ MFA kò dáhùn rí. Ọ̀kọ̀ọ̀kan ní olówó tirẹ̀, ìlà àkọsílẹ̀ tirẹ̀ àti ìdáhùn títọ́ tirẹ̀. Ìfiránṣẹ́ àkókò-pípẹ́ kan ṣoṣo fi pamọ́ ipò tí o wà, àti àìdánilójú yẹn ni ó yí ìdánuṣe padà sí àríyànjiyàn. Dárúkọ àwọn ipò nínú ìtọ́sọ́nà kí o tó nílò wọ́n.

Ìkọ̀ túmọ̀ sí pé olùdánilójú dáhùn ó sì sọ rárá, èyí jẹ́ àbájáde ìlànà kì í ṣe ìṣòro wíwà. Ìgbìyànjú tí ó parí túmọ̀ sí pé ìpèníjà wà tí ẹnìkan kò sì parí rẹ̀ ní àkókò. Iṣẹ́ tí a kò lè débà túmọ̀ sí pé a kò dáhùn ìbéèrè náà rí. Ẹ̀kẹta nìkan ni ìdánuṣe.

Ìgbésẹ̀ 2: kà ipò ìkùnà tí proxy ń lò ní ti gidi

Wá ètò tí ń ṣàkóso ìhùwàsí nígbà tí a kò lè kàn sí iṣẹ́ náà, kí o sì kà á láti inú ìṣètò tí ń ṣiṣẹ́ kì í ṣe àwòkọ́ṣe. Nínú proxy RADIUS ti Duo, àwọn iye failmode tí a kọ sílẹ̀ ni safe àti secure, níbi tí safe ń gba ìgbìyànjú láàyè nìkan nígbà tí ìjẹ́rìí àkọ́kọ́ bá ṣe àṣeyọrí, tí secure sì kọ̀ ìgbìyànjú ní ipò yẹn.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Orúkọ safe ṣàpèjúwe yíyàn wíwà, kì í ṣe ìdánilójú pé gbogbo ìpàdé tí a gbà ní kókó kejì tuntun. Gbólóhùn yẹn jẹ́ ti ìwé àkọsílẹ̀ ewu, nítorí pé ìyẹn gan-an ni pàṣípààrọ̀ tí ètò náà ń ṣe. Má ṣe sọ iye náà di gbogbogbò fún olùpèsè mìíràn, ìsopọ̀ mìíràn tàbí ipò proxy mìíràn; ka àkọsílẹ̀ ọjà yẹn fún ohun tí ó dọ́gba tirẹ̀. Ìṣètò tí a dà kọ láti àpẹẹrẹ olùtà láìsí òye yìí jẹ́ ìyàlẹ́nu tí ń dúró de ìdánuṣe tó kàn.

Dúró bí ẹnikẹ́ni kò bá lè sọ ipò tí ń ṣiṣẹ́. Ìyókù ìtọ́sọ́nà náà sinmi lórí ìdáhùn yẹn.

Ìgbésẹ̀ 3: mú àwọn àtúnṣe bá ìṣàn

Ṣiṣẹ́ pọ̀ àkókò àti ìhùwàsí àtúnṣe ti ẹnubodè pẹ̀lú ìṣàn ìjẹ́rìí tí ó ń darí. Àwọn àtúnṣe tí a kò ṣiṣẹ́ pọ̀ ń dá àwọn ìbéèrè púpọ̀, ń da ìbámu ìgbìyànjú rú, tí wọ́n sì fi àkọsílẹ̀ sílẹ̀ láìlè sọ èwo àbájáde ni ó jẹ́ ti ìwọlé wo. Àkókò pípẹ́ gan-an kì í ṣe àpẹẹrẹ wíwà; ó jẹ́ ìdúró pẹ́ síi fún ìdáhùn kan náà.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Àkókò ìbéèrè ti proxy fúnra rẹ̀ jẹ́ ààlà ọ̀tọ̀: ìbéèrè ìjẹ́rìí tí a gbé jáde tí kò sì parí rí ni a kọ̀, ìkọ̀ yẹn kì í sì ṣe ìdánuṣe láti padà sẹ́yìn. Ka ìkọ̀, ìpèníjà àìparí àti iṣẹ́ tí a kò lè débà gẹ́gẹ́ bí ìwọlé mẹ́ta ọ̀tọ̀ọ̀tọ̀ sínú tábìlì ìpinnu rẹ. Lẹ́yìn náà sọ tábìlì di kedere: ipò wo ni ó gbà, ipò wo ni ó dá dúró àti ipò wo ni a gbé lọ sí ọ̀dọ̀ ènìyàn.

Bí ẹ̀ka méjì bá ń tún gbìyànjú, tún ẹ̀tọ́ àtúnṣe ṣe kí ó tó. Àwọn ìbéèrè ìlọ́po jẹ́ àmì olówó méjì, kì í ṣe iṣẹ́ tí ó lọra.

Ìgbésẹ̀ 4: ṣàkóso ààyè pàjáwìrì lọ́tọ̀ọ̀tọ̀

Bí a bá nílò ààyè pàjáwìrì, fún un ní ìwọ̀n, ìdánimọ̀, àṣẹ àti ọ̀nà àyẹ̀wò tirẹ̀. Pípa MFA ní ìdákẹ́jẹ́ fún gbogbo olùlò kì í ṣe ìlànà pàjáwìrì; ó jẹ́ ìrẹ̀wẹ̀sí pẹ́pẹ́ pẹ̀lú ìṣẹ̀lẹ̀ tí ó so mọ́ ọn. Olówó ààbò fọwọ́ sí òfin ìwọlé, ìríran àti ọ̀nà ìgbéraga ṣáájú.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Dán gbogbo matrix wò ní àyíká tí kì í ṣe ìgbéjáde: ìkùnà àkọ́kọ́, ìkọ̀ mọ̀ọ́mọ̀, àkókò ìpèníjà tí ó parí àti àìsí iṣẹ́. Fún ọ̀kọ̀ọ̀kan, ṣàkọsílẹ̀ àbájáde ààyè àti ìdí tí a kọ sínú àkọsílẹ̀. Má ṣe dá ìdánuṣe ìgbéjáde láti ṣàwárí ìhùwàsí tí a ṣètò, kí o má sì dán ọ̀nà pàjáwìrì wò ní ìgbà àkọ́kọ́ nígbà ìṣẹ̀lẹ̀ tí a kọ ọ́ fún. Ìlànà ìmúpadà tí a kò tíì ṣe rí jẹ́ ìwé, kì í ṣe ìṣàkóso.

Ìtọ́sọ́nà parí nígbà tí a bá dárúkọ àwọn ipò mẹ́ta, tí a ka ipò ìkùnà láti inú ẹ̀rọ tí ń ṣiṣẹ́, tí àwọn àtúnṣe ní olówó kan, tí ààyè pàjáwìrì sì ní ìfọwọ́sí àti àyẹ̀wò tirẹ̀. Ìmúṣẹ́ tí a lè ṣàájú àti ọ̀nà ìmúpadà tí a mọ̀ ni àbájáde tí ó yẹ kí a ṣàkọsílẹ̀.