Mitä VPN:n federoidun kirjautumisen selainvaiheessa tapahtuu

Napsautat Yhdistä, ja VPN-asiakas avaa salasanakentän sijaan selaimesi. Tämä siirto hämmentää niitä, jotka odottavat tunnelin todentavan itsensä. Selain ei ole kiertotie: siellä identiteetintarjoaja todella todentaa henkilön, ja asiakas vain odottaa tulosta.

Yhden kirjautumisen seuraaminen alusta loppuun näyttää, mihin vaiheeseen mikä tahansa vika kuuluu, ja juuri tämän osan useimmat runbookit jättävät väliin.

Aloita asiakkaasta, älä yhdyskäytävän kokoonpanosta

Asiakas rakentaa pyynnön ja lähettää selaimen identiteetintarjoajalle palveluntarjoajan tunnisteen ja paluuosoitteen kanssa. Sitten organisaatiosi IdP suorittaa sen, mikä on määritetty: salasana, MFA, laitetarkistus, ehdollinen käyttöoikeus. Jos selaimessa on jo voimassa oleva istunto, näkyvä osa voi kestää sekunnin tai kaksi. Tämä lyhyys on istunnon uudelleenkäyttöä, ei ohitettu tarkistus.

Lue asiakkaan federaatiokokoonpanosta kaksi arvoa ennen muuta: IdP:n metatiedot tai URL, johon se luottaa, ja paluuosoite, jota se odottaa. Epäjohdonmukaisuus siellä epäonnistuu ennen kuin yhtään salasanaa kirjoitetaan.

Mitä identiteetintarjoajan on palautettava

IdP vastaa allekirjoitetulla SAML-vastauksella, joka sisältää väitteen: kuka on subjekti, kuka sen myönsi, kenelle se on tarkoitettu ja kuinka kauan se on voimassa. Nämä kentät ovat sopimus. Myöntäjä, yleisö, vastaanottaja ja voimassaoloikkuna ovat kaikki vastattava sitä, mitä palvelu odottaa.

Oikean IdP:n allekirjoittama mutta eri yleisölle osoitettu vastaus on silti virheellinen. Tämän tarkistuksen ihmiset ohittavat kopioidessaan metatietoja laboratoriosta tuotantoon.

Mitä VPN-palvelu validoi ennen kuin luottaa sinuun

Palvelu vahvistaa allekirjoituksen luotettua sertifikaattia vastaan, tarkistaa myöntäjän, yleisön ja vastaanottajan ja arvioi sitten aikaehdot. Vasta sen jälkeen se kartoittaa väitteen käyttäjään tai ryhmään ja soveltaa VPN:n valtuutuspolitiikkaa. Todennus ja valtuutus ovat tässä erillisiä vaiheita, ja kelvollinen väite ilman vastaavaa ryhmää antaa istunnon, joka yhdistää eikä saavuta mitään.

Väite on todennusmateriaalia, ei salasana. Sen liittäminen toiseen asiakkaaseen tai säilyttäminen myöhempää uudelleenyhdistämistä varten ei ole tuettu kirjautuminen.

Kaksi elinaikaa, jotka päättyvät erikseen

IdP:n selainistunto ja yhdyskäytävän VPN-istunto vanhenevat eri kelloilla. IdP:stä kirjautuminen ulos ei välttämättä purkaa muodostettua tunnelia, eikä tunnelin katkaiseminen kirjaa sinua ulos selaimesta.

AWS Client VPN dokumentoi, että sen federoitu kulku ei tue SAML-kertakirjautumista ulos, mikä on konkreettinen esimerkki tästä aukosta. Tarkista oma palvelusi sen sijaan, että olettaisit symmetriaa.

Siksi uudelleenyhdistäminen käyttäytyy eri tavalla kello 09:00 ja kello 15:00. Se voi käyttää IdP-istuntoa hiljaa uudelleen, pyytää MFA:n uudelleen tai epäonnistua, koska päätepisteen istunnon kesto on päättynyt mutta selainistunto ei. AWS:n federaatiotyönkulku kuvaa omat asiakas- ja vastausvaatimuksensa, ja muut palvelut käyttävät erilaisia siirtoja.

Kun selainvaihe epäonnistuu, tarkista nämä järjestyksessä

Työskentele selaimesta ulospäin, koska virheilmoitus nimeää yleensä viimeisen eikä ensimmäisen hypyn.

Jos sivu ei koskaan lataudu, asiakkaan IdP-URL tai polku sinne on väärä. Jos IdP hylkää pyynnön, palveluntarjoajan tunniste tai paluuosoite ei vastaa sen kokoonpanoa. Jos selain näyttää onnistumista ja asiakas silti epäonnistuu, vastaus saapui väärään paikkaan tai epäonnistui yleisön ja ajan validoinnissa. Ja jos tunneli nousee ilman pääsyä, väite hyväksyttiin mutta ryhmäkartoitus ei.

Pidä odotettu sivu, paluuosoite ja ryhmäkartoitus yhdessä asiakirjassa. Silloin käyttäjä, joka raportoi rikkinäisestä VPN-kirjautumisesta, voi kertoa, minkä näistä neljästä asiasta hän näki, ja vastaus on jo puoliksi kirjoitettu.