Τι συμβαίνει στο βήμα του προγράμματος περιήγησης σε μια ομοσπονδιακή σύνδεση VPN

Πατάτε Σύνδεση και, αντί για πεδίο κωδικού, ο πελάτης VPN ανοίγει το πρόγραμμα περιήγησής σας. Αυτή η παράδοση μπερδεύει όσους περιμένουν ότι η σήραγγα θα πιστοποιηθεί μόνη της. Το πρόγραμμα περιήγησης δεν είναι παράκαμψη: εκεί ο πάροχος ταυτότητας πιστοποιεί πραγματικά το άτομο και ο πελάτης απλώς περιμένει το αποτέλεσμα.

Η παρακολούθηση μίας σύνδεσης από την αρχή ως το τέλος δείχνει σε ποιο βήμα ανήκει κάθε αποτυχία, και αυτό ακριβώς το μέρος παραλείπουν τα περισσότερα runbooks.

Ξεκινήστε από τον πελάτη, όχι από τη διαμόρφωση της πύλης

Ο πελάτης συντάσσει ένα αίτημα και στέλνει το πρόγραμμα περιήγησης στον πάροχο ταυτότητας με αναγνωριστικό παρόχου υπηρεσιών και διεύθυνση επιστροφής. Έπειτα το IdP του οργανισμού σας εκτελεί ό,τι έχει ρυθμιστεί: κωδικό, MFA, έλεγχο συσκευής, υπό όρους πρόσβαση. Αν το πρόγραμμα περιήγησης έχει ήδη έγκυρη συνεδρία, το ορατό μέρος μπορεί να διαρκέσει ένα ή δύο δευτερόλεπτα. Αυτή η συντομία είναι επαναχρησιμοποίηση συνεδρίας, όχι παράλειψη ελέγχου.

Διαβάστε στη διαμόρφωση ομοσπονδίας του πελάτη δύο τιμές πριν από οτιδήποτε άλλο: τα μεταδεδομένα ή το URL του IdP που εμπιστεύεται, και τη διεύθυνση επανάκλησης που περιμένει. Μια αναντιστοιχία εκεί αποτυγχάνει πριν πληκτρολογηθεί οποιοσδήποτε κωδικός.

Τι πρέπει να επιστρέψει ο πάροχος ταυτότητας

Το IdP απαντά με υπογεγραμμένη απάντηση SAML που περιέχει δήλωση: ποιος είναι ο υποκείμενος, ποιος την εξέδωσε, για ποιον προορίζεται και πόσο ισχύει. Αυτά τα πεδία είναι το συμβόλαιο. Εκδότης, κοινό, παραλήπτης και παράθυρο ισχύος πρέπει να ταιριάζουν με ό,τι περιμένει η υπηρεσία.

Μια απάντηση υπογεγραμμένη από το σωστό IdP αλλά απευθυνόμενη σε άλλο κοινό παραμένει άκυρη. Αυτόν τον έλεγχο παραλείπουν οι άνθρωποι όταν αντιγράφουν μεταδεδομένα από ένα εργαστήριο στην παραγωγή.

Τι επικυρώνει η υπηρεσία VPN πριν σας εμπιστευτεί

Η υπηρεσία επαληθεύει την υπογραφή με το έμπιστο πιστοποιητικό, ελέγχει τον εκδότη, το κοινό και τον παραλήπτη και μετά αξιολογεί τις χρονικές συνθήκες. Μόνο μετά αντιστοιχίζει τη δήλωση σε χρήστη ή ομάδα και εφαρμόζει την πολιτική εξουσιοδότησης VPN. Η ταυτοποίηση και η εξουσιοδότηση είναι εδώ ξεχωριστά βήματα, και μια έγκυρη δήλωση χωρίς αντίστοιχη ομάδα δίνει συνεδρία που συνδέεται και δεν φτάνει πουθενά.

Η δήλωση είναι υλικό ταυτοποίησης, όχι κωδικός. Η επικόλλησή της σε άλλον πελάτη ή η φύλαξή της για μεταγενέστερη επανασύνδεση δεν είναι υποστηριζόμενη σύνδεση.

Δύο διάρκειες που τελειώνουν χωριστά

Η συνεδρία του προγράμματος περιήγησης στο IdP και η συνεδρία VPN στην πύλη λήγουν με διαφορετικά ρολόγια. Η αποσύνδεση από το IdP δεν κατεδαφίζει απαραίτητα μια εγκατεστημένη σήραγγα, και η αποσύνδεση της σήραγγας δεν σας αποσυνδέει από το πρόγραμμα περιήγησης.

Το AWS Client VPN τεκμηριώνει ότι η ομοσπονδιακή ροή του δεν υποστηρίζει μεμονωμένη αποσύνδεση SAML, που είναι ένα συγκεκριμένο παράδειγμα αυτού του κενού. Ελέγξτε τη δική σας υπηρεσία αντί να υποθέσετε συμμετρία.

Γι' αυτό μια επανασύνδεση συμπεριφέρεται διαφορετικά στις 09:00 και στις 15:00. Μπορεί να επαναχρησιμοποιήσει σιωπηλά τη συνεδρία του IdP, να ζητήσει ξανά MFA ή να αποτύχει επειδή έληξε η διάρκεια συνεδρίας του τελικού σημείου ενώ του προγράμματος περιήγησης όχι. Η ροή ομοσπονδίας του AWS περιγράφει τις δικές της απαιτήσεις πελάτη και απάντησης, και άλλες υπηρεσίες χρησιμοποιούν διαφορετικές παραδόσεις.

Όταν αποτυγχάνει το βήμα του προγράμματος περιήγησης, ελέγξτε τα εξής με αυτή τη σειρά

Δουλέψτε από το πρόγραμμα περιήγησης προς τα έξω, γιατί το μήνυμα σφάλματος συνήθως ονομάζει το τελευταίο άλμα και όχι το πρώτο.

Αν η σελίδα δεν φορτώνει ποτέ, το URL του IdP στον πελάτη ή η διαδρομή προς αυτό είναι λάθος. Αν το IdP απορρίψει το αίτημα, το αναγνωριστικό παρόχου υπηρεσιών ή η επανάκληση δεν ταιριάζουν με τη διαμόρφωσή του. Αν το πρόγραμμα περιήγησης δείχνει επιτυχία και ο πελάτης εξακολουθεί να αποτυγχάνει, η απάντηση έφτασε σε λάθος μέρος ή απέτυχε στην επικύρωση κοινού και χρόνου. Και αν η σήραγγα ανέβει χωρίς πρόσβαση, η δήλωση έγινε δεκτή αλλά η αντιστοίχιση ομάδας δεν έγινε.

Κρατήστε την αναμενόμενη σελίδα, την επανάκληση και την αντιστοίχιση ομάδας σε ένα έγγραφο. Τότε ένας χρήστης που αναφέρει χαλασμένη σύνδεση VPN μπορεί να πει ποιο από αυτά τα τέσσερα είδε, και η απάντηση είναι ήδη μισογραμμένη.