Mis juhtub föderatiivse VPN-sisselogimise brauserietapis

Vajutad Ühenda ja VPN-klient avab paroolivälja asemel sinu brauseri. See üleandmine ajab segadusse need, kes ootavad, et tunnel autentib end ise. Brauser ei ole ümbersõit: just seal autendib identiteedipakkuja inimest tegelikult ja klient lihtsalt ootab tulemust.

Ühe sisselogimise jälgimine algusest lõpuni näitab, millise sammu juurde iga rike kuulub, ja just selle osa jätavad enamik runbooke vahele.

Alusta kliendist, mitte lüüsi konfiguratsioonist

Klient koostab päringu ja saadab brauseri identiteedipakkuja juurde koos teenusepakkuja identifikaatori ja tagasituleku aadressiga. Seejärel täidab sinu organisatsiooni IdP seda, mis on seadistatud: parool, MFA, seadme kontroll, tingimuslik juurdepääs. Kui brauseris on juba kehtiv seanss, võib nähtav osa kesta sekundi või kaks. See lühidus on seansi taaskasutus, mitte vahele jäetud kontroll.

Loe kliendi föderatsioonikonfiguratsioonist enne kõike muud kahte väärtust: IdP metaandmed või URL, mida see usaldab, ja tagasikutse aadress, mida see ootab. Sealne lahknevus ebaõnnestub enne, kui ükski parool sisestatakse.

Mida peab identiteedipakkuja tagastama

IdP vastab allkirjastatud SAML-vastusega, mis sisaldab väidet: kes on subjekt, kes selle väljastas, kellele see on mõeldud ja kui kaua see kehtib. Need väljad on leping. Väljastaja, auditoorium, saaja ja kehtivusaken peavad kõik vastama sellele, mida teenus ootab.

Õige IdP poolt allkirjastatud, kuid teisele auditooriumile adresseeritud vastus on ikka kehtetu. Just seda kontrolli jäetakse vahele, kui metaandmeid laborist tootmisse kopeeritakse.

Mida VPN-teenus valideerib enne, kui sind usaldab

Teenus kontrollib allkirja usaldusväärse sertifikaadi vastu, kontrollib väljastajat, auditooriumi ja saajat ning hindab seejärel ajatingimusi. Alles pärast seda seob see väite kasutaja või rühmaga ja rakendab VPN-i autoriseerimispoliitikat. Autentimine ja autoriseerimine on siin eraldi sammud ning kehtiv väide ilma sobiva rühmata annab seansi, mis ühendub ja ei jõua kuhugi.

Väide on autentimismaterjal, mitte parool. Selle kleepimine teise kliendisse või hoidmine hilisemaks taasühenduseks ei ole toetatud sisselogimine.

Kaks eluiga, mis lõpevad eraldi

Brauseriseanss IdP juures ja VPN-seanss lüüsis aeguvad erinevate kellade järgi. IdP-st väljalogimine ei lammuta tingimata juba loodud tunnelit ja tunneli katkestamine ei logi sind brauserist välja.

AWS Client VPN dokumenteerib, et selle föderatiivne voog ei toeta SAML üksikväljalogimist, mis on selle lünga konkreetne näide. Kontrolli oma teenust, mitte ära eelda sümmeetriat.

Seetõttu käitub taasühendus teisiti kell 09:00 ja kell 15:00. See võib IdP seanssi vaikselt taaskasutada, uuesti MFA-d küsida või ebaõnnestuda, sest lõpp-punkti seansi kestus on lõppenud, brauseriseanss aga mitte. AWS-i föderatsioonivoog kirjeldab oma kliendi- ja vastusnõudeid ning teised teenused kasutavad teistsuguseid üleandmisi.

Kui brauserietapp ebaõnnestub, kontrolli neid selles järjekorras

Tööta brauserist väljapoole, sest veateade nimetab tavaliselt viimast, mitte esimest hüpet.

Kui leht ei laadi kunagi, on kliendi IdP URL või tee sinna vale. Kui IdP lükkab päringu tagasi, ei vasta teenusepakkuja identifikaator ega tagasikutse selle konfiguratsioonile. Kui brauser näitab edu ja klient siiski ebaõnnestub, jõudis vastus valesse kohta või ebaõnnestus auditooriumi ja aja valideerimisel. Ja kui tunnel tõuseb ilma juurdepääsuta, võeti väide vastu, kuid rühma vastendamine ei toimunud.

Hoia oodatav leht, tagasikutse ja rühma vastendamine ühes dokumendis. Siis saab katkisest VPN-sisselogimisest teatav kasutaja öelda, millist neist neljast asjast ta nägi, ja vastus on juba poolenisti kirjas.