Wat gebeur in die blaaierstap van 'n federale VPN-aanmelding

Jy klik Verbind, en in plaas van 'n wagwoordblokkie maak die VPN-kliënt jou blaaier oop. Daardie oorhandiging verwar mense wat verwag dat die tonnel homself moet verifieer. Die blaaier is nie 'n ompad nie: dit is waar die identiteitsverskaffer die persoon werklik verifieer, en die kliënt wag net op die resultaat.

Om een aanmelding van begin tot einde te volg, wys waar elke fout hoort, en dit is die deel wat die meeste runbooks oorslaan.

Begin by die kliënt, nie by die gateway-konfigurasie nie

Die kliënt bou 'n versoek en stuur die blaaier na die identiteitsverskaffer met 'n diensverskaffer-identifiseerder en 'n terugkeerplek. Jou organisasie se IdP voer dan uit wat dit ingestel is om te doen: wagwoord, MFA, toestelkontrole, voorwaardelike toegang. As die blaaier reeds 'n geldige sessie het, kan die sigbare deel 'n sekonde of twee duur. Daardie kortheid is hergebruik van die sessie, nie 'n oorgeslaande kontrole nie.

Lees die kliënt se federasiekonfigurasie vir twee waardes voor enigiets anders: die IdP-metadata of URL wat dit vertrou, en die terugroepadres wat dit verwag. 'n Wanverhouding daar faal voordat enige wagwoord getik word.

Wat die identiteitsverskaffer moet terugstuur

Die IdP antwoord met 'n ondertekende SAML-antwoord wat 'n bewering bevat: wie die subjek is, wie dit uitgereik het, vir wie dit is, en hoe lank dit geldig bly. Daardie velde is die kontrak. Uitgewer, gehoor, ontvanger en geldigheidsvenster moet alles ooreenstem met wat die diens verwag.

'n Antwoord wat deur die regte IdP onderteken is maar aan 'n ander gehoor gerig is, is steeds ongeldig. Dit is die kontrole wat mense oorslaan wanneer hulle metadata tussen 'n laboratorium en produksie kopieer.

Wat die VPN-diens valideer voordat dit jou vertrou

Die diens verifieer die handtekening teen die vertroude sertifikaat, kontroleer die uitgewer, die gehoor en die ontvanger, en evalueer dan die tydvoorwaardes. Eers daarna karteer dit die bewering na 'n gebruiker of groep en pas die VPN-magtigingsbeleid toe. Verifikasie en magtiging is hier aparte stappe, en 'n geldige bewering sonder 'n ooreenstemmende groep lewer 'n sessie wat verbind en niks bereik nie.

Die bewering is verifikasiemateriaal, nie 'n wagwoord nie. Om dit in 'n ander kliënt te plak, of om dit vir 'n latere herverbinding te hou, is nie 'n ondersteunde aanmelding nie.

Twee leeftye wat afsonderlik eindig

Die blaaiersessie by die IdP en die VPN-sessie by die gateway verval volgens verskillende klokke. Om by die IdP af te meld, breek nie noodwendig 'n gevestigde tonnel af nie, en om die tonnel te ontkoppel, meld jou nie by die blaaier af nie.

AWS Client VPN dokumenteer dat sy federale vloei nie SAML-enkelafmelding ondersteun nie, wat een konkrete voorbeeld van die gaping is. Kontroleer jou eie diens eerder as om simmetrie te aanvaar.

Dit is waarom 'n herverbinding anders optree om 09:00 en om 15:00. Dit kan die IdP-sessie stilweg hergebruik, weer om MFA vra, of faal omdat die eindpunt se sessieduur verval het terwyl die blaaiersessie nie het nie. Die AWS-federasiewerkvloei beskryf sy eie kliënt- en antwoordvereistes, en ander dienste gebruik ander oorhandigings.

Wanneer die blaaierstap faal, kontroleer dit in hierdie volgorde

Werk van die blaaier uit na buite, want die foutboodskap noem gewoonlik die laaste sprong eerder as die eerste.

As die bladsy nooit laai nie, is die kliënt se IdP-URL of die pad daarheen verkeerd. As die IdP die versoek verwerp, stem die diensverskaffer-identifiseerder of terugroep nie met sy konfigurasie ooreen nie. As die blaaier sukses wys en die kliënt steeds faal, het die antwoord die verkeerde plek bereik of gehoor- en tydvalidering gefaal. En as die tonnel opkom sonder toegang, is die bewering aanvaar maar die groepkartering nie.

Hou die verwagte bladsy, die terugroep en die groepkartering in een dokument. Dan kan 'n gebruiker wat 'n gebreekte VPN-aanmelding rapporteer, sê watter van daardie vier dinge hy gesien het, en die antwoord is al half geskryf.