در مرحله مرورگر ورود فدرال VPN چه اتفاقی می‌افتد

روی اتصال کلیک می‌کنید و سرویس‌گیر VPN به‌جای کادر گذرواژه مرورگر شما را باز می‌کند. این تحویل کسانی را گیج می‌کند که انتظار دارند تونل خودش احراز هویت کند. مرورگر دور زدن نیست: همان‌جا ارائه‌دهنده هویت شخص را واقعاً احراز می‌کند و سرویس‌گیر فقط منتظر نتیجه است.

دنبال کردن یک ورود از ابتدا تا انتها نشان می‌دهد هر خطا به کدام مرحله تعلق دارد، و بیشتر runbookها دقیقاً همین بخش را جا می‌اندازند.

از سرویس‌گیر شروع کنید، نه از پیکربندی دروازه

سرویس‌گیر درخواستی می‌سازد و مرورگر را به ارائه‌دهنده هویت می‌فرستد همراه با شناسه ارائه‌دهنده سرویس و نشانی بازگشت. سپس IdP سازمان شما هر چیزی را که پیکربندی شده اجرا می‌کند: گذرواژه، MFA، بررسی دستگاه، دسترسی شرطی. اگر مرورگر از قبل نشست معتبری داشته باشد، بخش دیدنی ممکن است یک یا دو ثانیه طول بکشد. این کوتاهی استفاده مجدد از نشست است، نه بررسی جاافتاده.

پیش از هر چیز در پیکربندی فدراسیون سرویس‌گیر دو مقدار را بخوانید: فراداده یا URL مربوط به IdP که به آن اعتماد دارد، و نشانی بازگشت که انتظار دارد. ناسازگاری در آنجا پیش از تایپ هر گذرواژه‌ای شکست می‌خورد.

ارائه‌دهنده هویت چه چیزی باید برگرداند

IdP با پاسخ امضاشده SAML پاسخ می‌دهد که شامل یک اظهار است: موضوع کیست، چه کسی آن را صادر کرده، برای چه کسی است و چه مدت معتبر می‌ماند. این فیلدها همان قراردادند. صادرکننده، مخاطب، گیرنده و بازه اعتبار باید با آنچه سرویس انتظار دارد مطابقت داشته باشند.

پاسخی که IdP درست آن را امضا کرده اما به مخاطب دیگری نشانی شده باشد همچنان نامعتبر است. این همان بررسی‌ای است که مردم هنگام کپی فراداده از آزمایشگاه به تولید جا می‌اندازند.

سرویس VPN پیش از اعتماد به شما چه چیزی را اعتبارسنجی می‌کند

سرویس امضا را با گواهی مورد اعتماد بررسی می‌کند، صادرکننده، مخاطب و گیرنده را می‌سنجد و سپس شرایط زمانی را ارزیابی می‌کند. تنها پس از آن اظهار را به کاربر یا گروه نگاشت می‌کند و سیاست مجوزدهی VPN را اعمال می‌کند. احراز هویت و مجوزدهی اینجا دو مرحله جدا هستند، و اظهار معتبر بدون گروه منطبق نشستی می‌دهد که متصل می‌شود و به هیچ‌جا نمی‌رسد.

اظهار ماده احراز هویت است، نه گذرواژه. چسباندن آن در سرویس‌گیر دیگر یا نگه‌داشتن آن برای اتصال مجدد بعدی ورود پشتیبانی‌شده نیست.

دو عمر که جدا پایان می‌یابند

نشست مرورگر در IdP و نشست VPN در دروازه با ساعت‌های متفاوت منقضی می‌شوند. خروج از IdP لزوماً تونل برپاشده را فرو نمی‌ریزد، و قطع تونل شما را از مرورگر خارج نمی‌کند.

AWS Client VPN مستند می‌کند که جریان فدرال آن خروج تک‌گانه SAML را پشتیبانی نمی‌کند، که نمونه مشخص این شکاف است. سرویس خودتان را بررسی کنید نه اینکه تقارن را فرض کنید.

به همین دلیل اتصال مجدد در 09:00 و در 15:00 رفتار متفاوتی دارد. ممکن است نشست IdP را بی‌صدا دوباره استفاده کند، دوباره MFA بخواهد، یا شکست بخورد چون مدت نشست نقطه پایانی منقضی شده ولی نشست مرورگر نه. جریان فدراسیون AWS الزامات سرویس‌گیر و پاسخ خودش را توصیف می‌کند و سرویس‌های دیگر تحویل‌های متفاوتی دارند.

وقتی مرحله مرورگر شکست می‌خورد، اینها را به ترتیب بررسی کنید

از مرورگر به بیرون کار کنید، چون پیام خطا معمولاً آخرین پرش را نام می‌برد نه اولین را.

اگر صفحه هرگز بارگذاری نمی‌شود، URL مربوط به IdP در سرویس‌گیر یا مسیر رسیدن به آن اشتباه است. اگر IdP درخواست را رد کند، شناسه ارائه‌دهنده سرویس یا بازگشت با پیکربندی آن مطابقت ندارد. اگر مرورگر موفقیت نشان دهد و سرویس‌گیر همچنان شکست بخورد، پاسخ به جای اشتباه رسیده یا اعتبارسنجی مخاطب و زمان را رد کرده است. و اگر تونل بدون دسترسی بالا بیاید، اظهار پذیرفته شده اما نگاشت گروه انجام نشده است.

صفحه مورد انتظار، بازگشت و نگاشت گروه را در یک سند نگه دارید. آنگاه کاربری که ورود VPN خراب را گزارش می‌کند می‌تواند بگوید کدام یک از این چهار چیز را دیده، و پاسخ نیمه نوشته است.