Što se događa u koraku preglednika pri federalnoj VPN prijavi

Kliknete na Poveži i umjesto polja za lozinku VPN klijent otvori vaš preglednik. Taj prijelaz zbunjuje ljude koji očekuju da se tunel sam autentificira. Preglednik nije zaobilaznica: u njemu pružatelj identiteta stvarno autentificira osobu, a klijent samo čeka rezultat.

Praćenje jedne prijave od početka do kraja pokazuje kojem koraku pripada svaki kvar, a upravo taj dio većina priručnika preskače.

Počnite od klijenta, a ne od konfiguracije pristupnika

Klijent sastavlja zahtjev i šalje preglednik pružatelju identiteta uz identifikator pružatelja usluga i adresu povratka. Zatim IdP vaše organizacije izvodi ono što je konfigurirano: lozinku, MFA, provjeru uređaja, uvjetni pristup. Ako preglednik već ima valjanu sesiju, vidljivi dio može trajati sekundu ili dvije. Ta kratkoća je ponovna uporaba sesije, a ne preskočena provjera.

Prije svega ostalog pročitajte u konfiguraciji federacije klijenta dvije vrijednosti: metapodatke ili URL IdP-a kojem vjeruje, i adresu povratnog poziva koju očekuje. Neusklađenost ondje pada prije nego što se upiše ikakva lozinka.

Što pružatelj identiteta mora vratiti

IdP odgovara potpisanim SAML odgovorom koji sadrži tvrdnju: tko je subjekt, tko ju je izdao, kome je namijenjena i koliko dugo vrijedi. Ta polja su ugovor. Izdavatelj, publika, primatelj i razdoblje valjanosti moraju se podudarati s onim što usluga očekuje.

Odgovor koji potpiše pravi IdP, ali je upućen drugoj publici, i dalje je nevaljan. Tu provjeru ljudi preskaču kad kopiraju metapodatke iz laboratorija u produkciju.

Što VPN usluga provjerava prije nego što vam povjeruje

Usluga provjerava potpis prema pouzdanom certifikatu, zatim izdavatelja, publiku i primatelja, a onda ocjenjuje vremenske uvjete. Tek nakon toga mapira tvrdnju na korisnika ili grupu i primjenjuje VPN politiku autorizacije. Autentifikacija i autorizacija ovdje su odvojeni koraci, a valjana tvrdnja bez odgovarajuće grupe daje sesiju koja se povezuje i ništa ne postiže.

Tvrdnja je autentifikacijski materijal, ne lozinka. Zalijepiti ju u drugi klijent ili ju sačuvati za kasnije ponovno povezivanje nije podržana prijava.

Dva trajanja koja završavaju odvojeno

Sesija preglednika kod IdP-a i VPN sesija na pristupniku istječu po različitim satovima. Odjava s IdP-a ne ruši nužno uspostavljeni tunel, a prekid tunela ne odjavljuje vas iz preglednika.

AWS Client VPN dokumentira da njegov federalni tok ne podržava SAML pojedinačnu odjavu, što je konkretan primjer tog jaza. Provjerite vlastitu uslugu umjesto da pretpostavljate simetriju.

Zato se ponovno povezivanje ponaša drukčije u 09:00 i u 15:00. Može tiho ponovno iskoristiti IdP sesiju, ponovno zatražiti MFA ili pasti jer je trajanje sesije krajnje točke isteklo, a sesija preglednika nije. AWS tok federacije opisuje vlastite zahtjeve za klijent i odgovor, a druge usluge koriste drukčija predavanja.

Kad korak preglednika ne uspije, provjerite ovo redom

Radite od preglednika prema van, jer poruka o pogrešci obično imenuje zadnji, a ne prvi skok.

Ako se stranica nikad ne učita, URL IdP-a u klijentu ili put do njega pogrešan je. Ako IdP odbije zahtjev, identifikator pružatelja usluga ili povratni poziv ne odgovaraju njegovoj konfiguraciji. Ako preglednik pokaže uspjeh, a klijent ipak ne uspije, odgovor je stigao na pogrešno mjesto ili nije prošao provjeru publike i vremena. A ako se tunel podigne bez pristupa, tvrdnja je prihvaćena, ali mapiranje grupe nije.

Držite očekivanu stranicu, povratni poziv i mapiranje grupe u jednom dokumentu. Tada korisnik koji prijavi neispravnu VPN prijavu može reći što je od te četiri stvari vidio, i odgovor je već napola napisan.