Beth sy’n digwydd yn ngham y porwr mewngofnodi VPN ffederal

Rydych yn clicio Cysylltu, ac yn lle blwch cyfrinair mae’r cleient VPN yn agor eich porwr. Mae’r trosglwyddiad hwnnw’n drysu pobl sy’n disgwyl i’r twmffat ddilysu ei hun. Nid rhwystr yw’r porwr: yno mae’r darparwr hunaniaeth yn dilysu’r person mewn gwirionedd, a’r cleient yn unig yn aros am y canlyniad.

Mae dilyn un mewngofnodiad o’r dechrau i’r diwedd yn dangos i ba gam y mae pob methiant yn perthyn, a dyna’r rhan y mae’r rhan fwyaf o lyfrau rhedeg yn ei hepgor.

Dechreuwch gyda’r cleient, nid ffurfweddiad y giât

Mae’r cleient yn adeiladu cais ac yn anfon y porwr at y darparwr hunaniaeth gyda dynodydd darparwr gwasanaeth a lleoliad dychwelyd. Yna mae IdP eich sefydliad yn rhedeg beth bynnag sydd wedi’i ffurfweddu: cyfrinair, MFA, gwiriad dyfais, mynediad amodol. Os oes gan y porwr sesiwn ddilys yn barod, gall y rhan weladwy gymryd eiliad neu ddwy. Ail-ddefnydd sesiwn yw’r byrfer hwnnw, nid gwiriad wedi’i hepgor.

Darllenwch ddau werth yng nghyfluniad ffederal y cleient cyn unrhyw beth arall: y metadata neu’r URL IdP y mae’n ymddiried ynddo, a’r cyfeiriad galwad yn ôl y mae’n ei ddisgwyl. Mae anghysondeb yno’n methu cyn i unrhyw gyfrinair gael ei deipio.

Beth y mae’n rhaid i’r darparwr hunaniaeth ei ddychwelyd

Mae’r IdP yn ateb ag ymateb SAML wedi’i lofnodi sy’n cynnwys honiad: pwy yw’r goddrych, pwy a’i cyhoeddodd, ar gyfer pwy y mae, a chyn hired y mae’n ddilys. Y meysydd hynny yw’r contract. Rhaid i gyhoeddwr, cynulleidfa, derbynnydd a ffenestr ddilysrwydd gyd-fynd â’r hyn y mae’r gwasanaeth yn ei ddisgwyl.

Mae ymateb wedi’i lofnodi gan yr IdP cywir ond wedi’i gyfeirio at gynulleidfa wahanol yn dal yn annilys. Dyna’r gwiriad y mae pobl yn ei hepgor wrth gopïo metadata rhwng labordy a chynhyrchu.

Beth y mae’r gwasanaeth VPN yn ei ddilysu cyn ymddiried ynoch

Mae’r gwasanaeth yn gwirio’r llofnod yn erbyn y dystysgrif ymddiriededig, yn gwirio’r cyhoeddwr, y gynulleidfa a’r derbynnydd, ac yna’n gwerthuso’r amodau amser. Dim ond wedyn y mae’n mapio’r honiad i ddefnyddiwr neu grŵp ac yn cymhwyso polisi awdurdodi’r VPN. Mae dilysu ac awdurdodi yn gamau ar wahân yma, ac mae honiad dilys heb grŵp cyfatebol yn rhoi sesiwn sy’n cysylltu ac yn cyrraedd dim.

Deunydd dilysu yw’r honiad, nid cyfrinair. Nid yw ei ludo i gleient arall, na’i gadw ar gyfer ailgysylltu hwyrach, yn fewngofnodiad a gefnogir.

Dau oes sy’n gorffen ar wahân

Mae sesiwn y porwr yn yr IdP a sesiwn y VPN wrth y giât yn dod i ben ar glociau gwahanol. Nid yw allgofnodi o’r IdP o reidrwydd yn chwalu twmffat sydd eisoes wedi’i sefydlu, ac nid yw datgysylltu’r twmffat yn eich allgofnodi o’r porwr.

Mae AWS Client VPN yn dogfennu nad yw ei fflŵs ffederal yn cefnogi allgofnodi sengl SAML, sy’n enghraifft goncrit o’r bwlch. Gwiriwch eich gwasanaeth eich hun yn lle rhagdybio cymesuredd.

Dyma pam mae ailgysylltu’n ymddwyn yn wahanol am 09:00 ac am 15:00. Gall ailddefnyddio sesiwn yr IdP yn dawel, gofyn am MFA eto, neu fethu oherwydd bod hyd sesiwn y pen draw wedi dod i ben tra nad yw sesiwn y porwr wedi. Mae llif ffederal AWS yn disgrifio ei ofynion cleient ac ymateb ei hun, ac mae gwasanaethau eraill yn defnyddio trosglwyddiadau gwahanol.

Pan fydd cam y porwr yn methu, gwiriwch y rhain mewn trefn

Gweithiwch o’r porwr tuag allan, oherwydd mae’r neges gwall fel arfer yn enwi’r naid olaf yn hytrach na’r gyntaf.

Os na fydd y dudalen byth yn llwytho, mae URL IdP y cleient neu’r llwybr ato yn anghywir. Os yw’r IdP yn gwrthod y cais, nid yw dynodydd y darparwr gwasanaeth na’r alwad yn ôl yn cyfateb i’w ffurfweddiad. Os yw’r porwr yn dangos llwyddiant a’r cleient yn dal i fethu, mae’r ymateb wedi cyrraedd y lle anghywir neu wedi methu dilysu cynulleidfa ac amser. Ac os yw’r twmffat yn codi heb fynediad, derbyniwyd yr honiad ond ni wnaed y mapio grŵp.

Cadwch y dudalen ddisgwyliedig, yr alwad yn ôl a’r mapio grŵp mewn un ddogfen. Yna gall defnyddiwr sy’n adrodd am fewngofnodiad VPN wedi torri ddweud pa un o’r pedwar peth hynny a welodd, ac mae’r ateb eisoes yn hanner wedi’i ysgrifennu.