Šta se dešava u koraku preglednika pri federalnoj VPN prijavi

Kliknete Poveži, a umjesto polja za lozinku VPN klijent otvara vaš preglednik. To predavanje zbunjuje ljude koji očekuju da se tunel sam autentificira. Preglednik nije zaobilazni put: u njemu dobavljač identiteta zaista autentificira osobu, a klijent samo čeka rezultat.

Praćenje jedne prijave od početka do kraja pokazuje kojem koraku pripada svaki kvar, a upravo taj dio većina runbooka preskače.

Počnite od klijenta, ne od konfiguracije pristupnika

Klijent sastavlja zahtjev i šalje preglednik dobavljaču identiteta uz identifikator pružaoca usluga i adresu povratka. Zatim IdP vaše organizacije izvršava ono što je konfigurisano: lozinku, MFA, provjeru uređaja, uslovni pristup. Ako preglednik već ima važeću sesiju, vidljivi dio može trajati sekundu ili dvije. Ta kratkoća je ponovno korištenje sesije, a ne preskočena provjera.

Prije svega ostalog pročitajte u federalnoj konfiguraciji klijenta dvije vrijednosti: IdP metapodatke ili URL kojem vjeruje, i adresu povratnog poziva koju očekuje. Neusklađenost tamo pada prije nego što se otkuca ikakva lozinka.

Šta dobavljač identiteta mora vratiti

IdP odgovara potpisanim SAML odgovorom koji sadrži tvrdnju: ko je subjekt, ko ga je izdao, kome je namijenjen i koliko dugo važi. Ta polja su ugovor. Izdavalac, publika, primalac i prozor važenja moraju se poklapati s onim što usluga očekuje.

Odgovor potpisan od pravog IdP-a, ali upućen drugoj publici, i dalje je nevažeći. To je provjera koju ljudi preskaču kad kopiraju metapodatke iz laboratorije u produkciju.

Šta VPN usluga provjerava prije nego što vam vjeruje

Usluga provjerava potpis prema pouzdanom sertifikatu, provjerava izdavaoca, publiku i primaoca, a zatim ocjenjuje vremenske uslove. Tek nakon toga mapira tvrdnju na korisnika ili grupu i primjenjuje VPN politiku autorizacije. Autentifikacija i autorizacija su ovdje odvojeni koraci, a važeća tvrdnja bez odgovarajuće grupe daje sesiju koja se povezuje i ništa ne dostiže.

Tvrdnja je materijal za autentifikaciju, ne lozinka. Zalijepiti je u drugi klijent ili je sačuvati za kasnije ponovno povezivanje nije podržana prijava.

Dva životna vijeka koji završavaju odvojeno

Sesija preglednika kod IdP-a i VPN sesija na pristupniku istječu po različitim satovima. Odjava s IdP-a ne razara nužno uspostavljen tunel, a prekid tunela ne odjavljuje vas iz preglednika.

AWS Client VPN dokumentira da njegov federalni tok ne podržava SAML pojedinačnu odjavu, što je konkretan primjer te praznine. Provjerite svoju uslugu umjesto da pretpostavljate simetriju.

Zato se ponovno povezivanje ponaša drugačije u 09:00 i u 15:00. Može tiho ponovo iskoristiti IdP sesiju, ponovo tražiti MFA ili pasti jer je trajanje sesije krajnje točke isteklo, a sesija preglednika nije. AWS tok federalne prijave opisuje svoje zahtjeve za klijent i odgovor, a druge usluge koriste drugačija predavanja.

Kada korak preglednika ne uspije, provjerite ovo po redu

Radite od preglednika prema van, jer poruka o grešci obično imenuje zadnji, a ne prvi skok.

Ako se stranica nikad ne učita, URL IdP-a u klijentu ili putanja do njega je pogrešna. Ako IdP odbije zahtjev, identifikator pružaoca usluga ili povratni poziv ne odgovara njegovoj konfiguraciji. Ako preglednik pokaže uspjeh, a klijent i dalje ne uspije, odgovor je stigao na pogrešno mjesto ili nije prošao provjeru publike i vremena. A ako se tunel podigne bez pristupa, tvrdnja je prihvaćena, ali mapiranje grupe nije.

Držite očekivanu stranicu, povratni poziv i mapiranje grupe u jednom dokumentu. Tada korisnik koji prijavi pokvarenu VPN prijavu može reći šta je od te četiri stvari vidio, i odgovor je već napola napisan.