מה קורה בשלב הדפדפן של התחברות VPN מאוחדת

אתם לוחצים על התחבר, ובמקום תיבת סיסמה לקוח ה-VPN פותח את הדפדפן. המסירה הזו מבלבלת אנשים שמצפים שהמנהרה תאמת את עצמה. הדפדפן אינו עקיפה: שם ספק הזהות מאמת את האדם בפועל, והלקוח רק ממתין לתוצאה.

מעקב אחר התחברות אחת מתחילתה ועד סופה מראה לאיזה שלב שייך כל כשל, וזה בדיוק החלק שרוב ספרי הריצה מדלגים עליו.

התחילו מהלקוח, לא מקונפיגורציית השער

הלקוח בונה בקשה ושולח את הדפדפן לספק הזהות עם מזהה ספק שירות ומיקום חזרה. אחר כך ה-IdP של הארגון מבצע את מה שהוגדר: סיסמה, MFA, בדיקת מכשיר, גישה מותנית. אם בדפדפן כבר יש הפעלה תקפה, החלק הנראה יכול להימשך שנייה או שתיים. הקיצור הזה הוא שימוש חוזר בהפעלה, לא בדיקה שדולגה.

קראו בקונפיגורציית הפדרציה של הלקוח שני ערכים לפני כל דבר אחר: מטא-נתוני ה-IdP או ה-URL שהוא סומך עליו, וכתובת החזרה שהוא מצפה לה. אי-התאמה שם נכשלת לפני שמוקלדת סיסמה כלשהי.

מה ספק הזהות חייב להחזיר

ה-IdP עונה בתגובת SAML חתומה שמכילה הצהרה: מי הנושא, מי הנפיק אותה, למי היא מיועדת וכמה זמן היא תקפה. השדות האלה הם החוזה. מנפיק, קהל, נמען וחלון תוקף חייבים כולם להתאים למה שהשירות מצפה לו.

תגובה שנחתמה בידי ה-IdP הנכון אך מוענה לקהל אחר עדיין פסולה. זו הבדיקה שמדלגים עליה כשמעתיקים מטא-נתונים ממעבדה לייצור.

מה שירות ה-VPN מאמת לפני שהוא סומך עליכם

השירות מאמת את החתימה מול התעודה המהימנה, בודק את המנפיק, הקהל והנמען, ואז מעריך את תנאי הזמן. רק אחר כך הוא ממפה את ההצהרה למשתמש או לקבוצה ומחיל את מדיניות ההרשאה של ה-VPN. אימות והרשאה הם כאן שלבים נפרדים, והצהרה תקפה בלי קבוצה מתאימה נותנת הפעלה שמתחברת ולא מגיעה לשום מקום.

ההצהרה היא חומר אימות, לא סיסמה. הדבקתה בלקוח אחר, או שמירתה לחיבור מחדש מאוחר יותר, אינה התחברות נתמכת.

שני תוחלי חיים שמסתיימים בנפרד

הפעלת הדפדפן אצל ה-IdP והפעלת ה-VPN בשער פגות בשעונים שונים. יציאה מה-IdP לא מפרקת בהכרח מנהרה קיימת, וניתוק המנהרה לא מוציא אתכם מהדפדפן.

AWS Client VPN מתעד שהזרימה המאוחדת שלו אינה תומכת ביציאה יחידה SAML, וזו דוגמה מוחשית לפער הזה. בדקו את השירות שלכם במקום להניח סימטריה.

לכן חיבור מחדש מתנהג אחרת ב-09:00 וב-15:00. הוא עשוי לעשות שימוש חוזר שקט בהפעלת ה-IdP, לבקש MFA שוב, או להיכשל כי משך הפעלת נקודת הקצה פג והפעלת הדפדפן לא. זרימת הפדרציה של AWS מתארת את דרישות הלקוח והתגובה שלה, ושירותים אחרים משתמשים במסירות אחרות.

כששלב הדפדפן נכשל, בדקו את אלה לפי הסדר

עבדו מהדפדפן החוצה, כי הודעת השגיאה בדרך כלל נוקבת בקפיצה האחרונה ולא בראשונה.

אם הדף לא נטען לעולם, ה-URL של ה-IdP בלקוח או הנתיב אליו שגוי. אם ה-IdP דוחה את הבקשה, מזהה ספק השירות או החזרה אינם תואמים לקונפיגורציה שלו. אם הדפדפן מציג הצלחה והלקוח עדיין נכשל, התגובה הגיעה למקום הלא נכון או נכשלה באימות קהל וזמן. ואם המנהרה עולה בלי גישה, ההצהרה התקבלה אבל מיפוי הקבוצה לא.

החזיקו את הדף המצופה, החזרה ומיפוי הקבוצה במסמך אחד. אז משתמש שמדווח על התחברות VPN שבורה יכול לומר איזה מארבעת הדברים האלה ראה, והתשובה כבר חצי כתובה.