Federal VPN girişinin brauzer mərhələsində nə baş verir

«Qoşul» düyməsini basırsınız və VPN müştərisi şifrə qutusu yerinə brauzerinizi açır. Bu ötürmə tunelin özünü doğrulayacağını gözləyənləri çaşdırır. Brauzer yan yol deyil: kimlik provayderi şəxsi əslində orada doğrulayır, müştəri isə yalnız nəticəni gözləyir.

Bir girişi başdan sona izləmək hər nasazlığın haraya aid olduğunu göstərir və əksər runbook-ların atladığı hissə məhz budur.

Gateway konfiqurasiyasından deyil, müştəridən başlayın

Müştəri sorğu qurur və brauzeri kimlik provayderinə göndərir; bununla xidmət provayderi identifikatoru və qayıdış ünvanı ötürülür. Sonra təşkilatınızın IdP-si konfiqurasiya edildiyi kimi işləyir: şifrə, MFA, cihaz yoxlaması, şərti giriş. Brauzerdə artıq etibarlı sessiya varsa, görünən hissə bir-iki saniyə çəkə bilər. Bu qısalıq sessiyanın təkrar istifadəsidir, atlanmış yoxlama deyil.

Hər şeydən əvvəl müştərinin federasiya konfiqurasiyasında iki dəyəri oxuyun: etibar etdiyi IdP metadata-sı və ya URL-i, və gözlədiyi geri çağırış ünvanı. Orada uyğunsuzluq hər hansı şifrə yazılmadan uğursuzluğa səbəb olur.

Kimlik provayderi nə qaytarmalıdır

IdP təsdiq ehtiva edən imzalanmış SAML cavabı ilə cavab verir: subyekt kimdir, kim verib, kimə aiddir və nə qədər etibarlıdır. Bu sahələr müqavilədir. Verən, auditoriya, alıcı və etibarlılıq pəncərəsi xidmətin gözlədiyi ilə uyğun olmalıdır.

Düzgün IdP tərəfindən imzalanmış, lakin fərqli auditoriyaya ünvanlanmış cavab yenə etibarsızdır. Laboratoriya ilə istehsal arasında metadata köçürərkən insanların atladığı yoxlama budur.

VPN xidməti sizə etibar etməzdən əvvəl nəyi yoxlayır

Xidmət imzanı etibarlı sertifikata qarşı yoxlayır, verəni, auditoriyanı və alıcını yoxlayır, sonra vaxt şərtlərini qiymətləndirir. Yalnız bundan sonra təsdiqi istifadəçi və ya qrupla əlaqələndirir və VPN avtorizasiya siyasətini tətbiq edir. Burada autentifikasiya ilə avtorizasiya ayrı addımlardır və uyğun qrupu olmayan etibarlı təsdiq qoşulan, lakin heç bir yerə çatmayan sessiya yaradır.

Təsdiq autentifikasiya materialıdır, şifrə deyil. Onu başqa müştəriyə yapışdırmaq və ya sonrakı yenidən qoşulma üçün saxlamaq dəstəklənən giriş deyil.

Ayrı-ayrı bitən iki ömür

IdP-də brauzer sessiyası və gateway-də VPN sessiyası müxtəlif saatlarda bitir. IdP-dən çıxmaq qurulmuş tuneli mütləq dağıtmır, tuneli ayırmaq isə sizi brauzerdən çıxarmır.

AWS Client VPN federasiya axınının SAML tək çıxışı dəstəkləmədiyini sənədləşdirir; bu, boşluğun konkret nümunəsidir. Simmetriyanı fərz etmək əvəzinə öz xidmətinizi yoxlayın.

Buna görə yenidən qoşulma 09:00-da və 15:00-da fərqli davranır. O, IdP sessiyasını səssizcə təkrar istifadə edə, yenidən MFA istəyə və ya endpoint sessiya müddəti bitdiyi halda brauzer sessiyası bitmədiyi üçün uğursuz ola bilər. AWS federasiya iş axını öz müştəri və cavab tələblərini təsvir edir, digər xidmətlər fərqli ötürmələr istifadə edir.

Brauzer mərhələsi uğursuz olduqda bunları sıra ilə yoxlayın

Brauzerdən xaricə doğru işləyin, çünki xəta mesajı adətən ilk deyil, son addımı adlandırır.

Səhifə heç yüklənmirsə, müştərinin IdP URL-i və ya ona gedən yol səhvdir. IdP sorğunu rədd edirsə, xidmət provayderi identifikatoru və ya geri çağırış onun konfiqurasiyasına uyğun deyil. Brauzer uğur göstərir, müştəri isə yenə uğursuz olursa, cavab yanlış yerə çatıb və ya auditoriya və vaxt yoxlamasından keçməyib. Tunel qalxır, amma giriş yoxdursa, təsdiq qəbul edilib, qrup əlaqələndirməsi isə edilməyib.

Gözlənilən səhifəni, geri çağırışı və qrup əlaqələndirməsini bir sənəddə saxlayın. Sonra pozulmuş VPN girişi barədə məlumat verən istifadəçi bu dörd şeydən hansını gördüyünü deyə bilər və cavabın yarısı artıq yazılmış olur.