Wat barst yn 'e browserstap fan in federearre VPN-oanmelding

Jo klikke op Ferbine, en yn plak fan in wachtwurdfjild iepenet de VPN-klant jo browser. Dy oerjefte betizet minsken dy't ferwachtsje dat de tunnel himsels ferifiearret. De browser is gjin omwei: dêr ferifiearret de identiteitsprovider de persoan echt, en de klant wachtet allinnich op it resultaat.

Ien oanmelding fan begjin oant ein folgje lit sjen by hokker stap elke flater heart, en dat is krekt it part dat de measte runbooks oerslaan.

Begjin by de klant, net by de gateway-konfiguraasje

De klant bout in fersyk en stjoert de browser nei de identiteitsprovider mei in tsjinstprovider-identifikaasje en in weromkomstplak. Dêrnei fiert de IdP fan jo organisaasje út wat konfigurearre is: wachtwurd, MFA, apparaatkontrôle, betingstsjende tagong. As de browser al in jildige sesje hat, kin it sichtbere part in sekonde of twa duorje. Dy koartheid is wergebrûk fan sesje, net in oerslein kontrôle.

Lês yn 'e federaasjekonfiguraasje fan 'e klant twa wearden foar al it oare: de IdP-metadata of URL dêr't er op fertrout, en it werombeladres dat er ferwachtet. In misferhâlding dêr mislearret foardat der in wachtwurd yntypke is.

Wat de identiteitsprovider weromjaan moat

De IdP antwurdet mei in ûndertekene SAML-antwurd dat in bewearing befettet: wa't it ûnderwerp is, wa't it útjûn hat, foar wa't it is en hoe lang it jildich bliuwt. Dy fjilden binne it kontrakt. Utjouwer, publyk, ûntfanger en jildichheidsfinster moatte allegear oerienkomme mei wat de tsjinst ferwachtet.

In antwurd ûndertekene troch de juste IdP mar rjochte oan in oar publyk is noch altyd ûnjildich. Dat is de kontrôle dy't minsken oerslaan as se metadata fan in laboratoarium nei produksje kopiearje.

Wat de VPN-tsjinst falt foardat se jo fertrout

De tsjinst ferifiearret de ûndertekening tsjin it fertroude sertifikaat, kontrolearret de útjouwer, it publyk en de ûntfanger, en beoardiellet dan de tiidsbetingsten. Pas dêrnei mapt se de bewearing nei in brûker of groep en past it VPN-autorisaasjebelied ta. Autentikaasje en autorisaasje binne hjir aparte stappen, en in jildige bewearing sûnder passende groep jout in sesje dy't ferbynt en neat berikt.

De bewearing is autentikaasjemateriaal, gjin wachtwurd. It yn in oare klant plakke, of it bewarje foar in lettere werferbining, is gjin stipe oanmelding.

Twa libbensdieren dy't apart einigje

De browsersesje by de IdP en de VPN-sesje by de gateway ferrinne op ferskate klokken. Útlogge by de IdP brekt net needsaaklik in oanleine tunnel ôf, en de tunnel ferbrekke logt jo net út by de browser.

AWS Client VPN dokumintearret dat syn federearre stream gjin SAML-ienkear-útloggen stipet, wat in konkreet foarbyld fan dat gat is. Kontrolearje jo eigen tsjinst ynstee fan symmetry oan te nimmen.

Dêrom gedraacht in werferbining him oars om 09:00 en om 15:00. Se kin de IdP-sesje stil wergebrûke, wer om MFA freegje of mislearje om't de sesjeduor fan it einpunt ferrûn is wylst dy fan 'e browser net. De AWS-federaasjewurkgong beskriuwt syn eigen klant- en antwurdferplichtingen, en oare tsjinsten brûke oare oerjeften.

As de browserstap mislearret, kontrolearje dizze yn folchoarder

Wurkje fan 'e browser nei bûten, want de flatermelding neamt meastentiids de lêste sprong ynstee fan 'e earste.

As de side nea ladt, is de IdP-URL fan 'e klant of it paad dêrhinne ferkeard. As de IdP it fersyk wegeret, komme de tsjinstprovider-identifikaasje of de werombel net oerien mei syn konfiguraasje. As de browser sukses lit sjen en de klant dochs mislearret, is it antwurd op 'e ferkearde plak bedarre of hat it publyk- en tiidfalidisaasje mist. En as de tunnel omheech komt sûnder tagong, is de bewearing akseptearre mar de groepsmapping net.

Hâld de ferwachte side, it werombel en de groepsmapping yn ien dokumint. Dan kin in brûker dy't in stikken VPN-oanmelding rapportearret sizze hokker fan dy fjouwer dingen er seach, en it antwurd is al heal skreaun.