Ce qui se passe à l’étape navigateur d’une connexion VPN fédérée

Vous cliquez sur Connecter et, au lieu d’un champ mot de passe, le client VPN ouvre votre navigateur. Ce transfert déroute ceux qui attendent que le tunnel s’authentifie lui-même. Le navigateur n’est pas un détour : c’est là que le fournisseur d’identité authentifie réellement la personne, et le client attend seulement le résultat.

Suivre une connexion du début à la fin montre à quelle étape appartient chaque échec, et c’est précisément la partie que la plupart des runbooks sautent.

Commencer par le client, pas par la configuration de la passerelle

Le client construit une requête et envoie le navigateur au fournisseur d’identité avec un identifiant de fournisseur de services et une adresse de retour. L’IdP de votre organisation exécute ensuite ce qui est configuré : mot de passe, MFA, contrôle de l’appareil, accès conditionnel. Si le navigateur détient déjà une session valide, la partie visible peut durer une seconde ou deux. Cette brièveté est une réutilisation de session, pas un contrôle sauté.

Lisez dans la configuration de fédération du client deux valeurs avant tout le reste : les métadonnées ou l’URL de l’IdP auquel il fait confiance, et l’adresse de rappel qu’il attend. Une incohérence à cet endroit échoue avant qu’un mot de passe soit saisi.

Ce que le fournisseur d’identité doit renvoyer

L’IdP répond par une réponse SAML signée contenant une assertion : qui est le sujet, qui l’a émise, à qui elle est destinée et combien de temps elle reste valide. Ces champs sont le contrat. Émetteur, audience, destinataire et fenêtre de validité doivent tous correspondre à ce que le service attend.

Une réponse signée par le bon IdP mais adressée à une autre audience reste invalide. C’est le contrôle que l’on saute quand on copie des métadonnées d’un laboratoire vers la production.

Ce que le service VPN valide avant de vous faire confiance

Le service vérifie la signature avec le certificat de confiance, contrôle l’émetteur, l’audience et le destinataire, puis évalue les conditions temporelles. C’est seulement ensuite qu’il associe l’assertion à un utilisateur ou un groupe et applique la politique d’autorisation VPN. Authentification et autorisation sont ici des étapes distinctes, et une assertion valide sans groupe correspondant donne une session qui se connecte et n’atteint rien.

L’assertion est un élément d’authentification, pas un mot de passe. La coller dans un autre client, ou la garder pour une reconnexion ultérieure, n’est pas une connexion prise en charge.

Deux durées de vie qui finissent séparément

La session du navigateur chez l’IdP et la session VPN à la passerelle expirent sur des horloges différentes. Se déconnecter de l’IdP ne démonte pas forcément un tunnel établi, et déconnecter le tunnel ne vous déconnecte pas du navigateur.

AWS Client VPN documente que son flux fédéré ne prend pas en charge la déconnexion unique SAML, ce qui est un exemple concret de cet écart. Vérifiez votre propre service au lieu de supposer une symétrie.

C’est pourquoi une reconnexion se comporte différemment à 09:00 et à 15:00. Elle peut réutiliser la session de l’IdP en silence, redemander une MFA ou échouer parce que la durée de session du point de terminaison a expiré alors que celle du navigateur non. Le flux de fédération AWS décrit ses propres exigences de client et de réponse, et d’autres services utilisent des transferts différents.

Quand l’étape navigateur échoue, vérifiez ceci dans l’ordre

Travaillez du navigateur vers l’extérieur, car le message d’erreur nomme souvent le dernier saut plutôt que le premier.

Si la page ne se charge jamais, l’URL de l’IdP du client ou le chemin vers celle-ci est faux. Si l’IdP rejette la requête, l’identifiant de fournisseur de services ou le rappel ne correspondent pas à sa configuration. Si le navigateur affiche un succès et que le client échoue encore, la réponse est arrivée au mauvais endroit ou a échoué à la validation d’audience et de temps. Et si le tunnel monte sans accès, l’assertion a été acceptée mais pas le mappage de groupe.

Gardez la page attendue, le rappel et le mappage de groupe dans un seul document. Alors un utilisateur qui signale une connexion VPN cassée peut dire laquelle de ces quatre choses il a vue, et la réponse est déjà à moitié écrite.