Zer gertatzen da VPN saio-hasiera federatuaren nabigatzaile-pausuan

Konektatu sakatzen duzu, eta pasahitz-eremuaren ordez VPN bezeroak zure nabigatzailea irekitzen du. Eskuoperaketak nahasten ditu tunelak bere burua egiaztatuko duela espero dutenak. Nabigatzailea ez da saihesbidea: han egiaztatzen du identitate-hornitzaileak pertsona benetan, eta bezeroak emaitzaren zain besterik ez du egiten.

Saio-hasiera bat hasieratik amaierara jarraitzeak erakusten du zein pausuri dagokion huts bakoitza, eta hori da runbook gehienek saltzen duten zatia.

Hasi bezeroan, ez atearen konfigurazioan

Bezeroak eskaera bat eraikitzen du eta nabigatzailea identitate-hornitzailera bidaltzen du zerbitzu-hornitzailearen identifikatzailearekin eta itzultze-kokapenarekin. Gero zure erakundeko IdPak konfiguratuta daukana exekutatzen du: pasahitza, MFA, gailuaren egiaztapena, sarbide baldintzatua. Nabigatzaileak jadanik baliozko saioa badu, zati ikusgaiak segundo bat edo bi iraun dezake. Laburtasun hori saioaren berrerabilpena da, ez egiaztapen saltatua.

Irakurri bezeroaren federazio-konfigurazioan bi balio beste guztia baino lehen: fidatzen den IdP metadatuak edo URLa, eta espero duen itzultze-helbidea. Han desadostasunak huts egiten du pasahitzik idatzi aurretik.

Zer itzuli behar du identitate-hornitzaileak

IdPak SAML erantzun sinatu bat ematen du, baieztapen bat duena: nor den subjektua, nork eman duen, norentzat den eta zenbat denbora balio duen. Eremu horiek dira kontratua. Igorlea, audientzia, hartzailea eta baliozkotasun-leihoa zerbitzuak espero duenarekin bat etorri behar dira.

IdP egokiak sinatutako baina audientzia ezberdin batera zuzendutako erantzuna baliogabea da oraindik. Hori da jendeak laborategitik produkziora metadatuak kopiatzean saltzen duen egiaztapena.

Zer balioztatzen du VPN zerbitzuak zu fidatu aurretik

Zerbitzuak sinadura fidagarri den ziurtagiriarekin egiaztatzen du, igorlea, audientzia eta hartzailea egiaztatzen ditu, eta gero denbora-baldintzak ebaluatzen ditu. Ondoren soilik mapatzen du baieztapena erabiltzaile edo talde batera eta VPN baimen-politika aplikatzen du. Autentifikazioa eta baimena pauso bereiziak dira hemen, eta talde egokirik gabeko baieztapen baliozkoak konektatzen duen baina inora iristen ez den saioa ematen du.

Baieztapena autentifikazio-materiala da, ez pasahitza. Beste bezero batean itsastea edo geroagoko berrikonexiorako gordetzea ez da onartutako saio-hasiera.

Bereiz amaitzen diren bi bizitza

IdPko nabigatzaile-saioa eta ateko VPN saioa erloju ezberdinetan iraungitzen dira. IdPtik irteteak ez du nahitaez ezarritako tunela botatzen, eta tunela deskonektatzeak ez zaitu nabigatzailetik irteten.

AWS Client VPNk dokumentatzen du bere fluxu federatuak ez duela SAML irteera bakarra onartzen, eta hori da hutsune horren adibide zehatza. Egiaztatu zeure zerbitzua, ez ezazu simetria suposatu.

Horregatik berrikonexioak beste modu batean jokatzen du 09:00etan eta 15:00etan. IdP saioa isilpean berrerabil dezake, MFA berriro eskatu, edo huts egin amaierako puntuaren saio-iraupena iraungi delako nabigatzailearena ez den bitartean. AWSren federazio-fluxuak bere bezero- eta erantzun-baldintzak deskribatzen ditu, eta beste zerbitzuek eskuoperaketa ezberdinak erabiltzen dituzte.

Nabigatzaile-pausuak huts egiten duenean, egiaztatu hauek ordena honetan

Lan egin nabigatzailetik kanpora, errore-mezuak normalean azken jauzia izendatzen baitu, ez lehena.

Orria inoiz kargatzen ez bada, bezeroaren IdP URLa edo hara doan bidea okerra da. IdPak eskaera ukatzen badu, zerbitzu-hornitzailearen identifikatzailea edo itzultzea ez datoz bat bere konfigurazioarekin. Nabigatzaileak arrakasta erakusten badu eta bezeroak huts egiten badu oraindik, erantzuna toki okerrean amaitu da edo audientzia eta denbora balioztatzean huts egin du. Eta tunela sarbiderik gabe altxatzen bada, baieztapena onartu da baina talde-mapa ez.

Eduki espero den orria, itzultzea eta talde-mapa dokumentu bakarrean. Orduan VPN saio-hasiera hautsia salatzen duen erabiltzaileak lau gauza horietatik zein ikusi duen esan dezake, eta erantzuna erdi idatzita dago jada.