Mi történik egy föderált VPN-bejelentkezés böngészőlépésében

Rákattintasz a Csatlakozásra, és a VPN-ügynök jelszómező helyett megnyitja a böngésződet. Ez az átadás összezavarja azokat, akik azt várják, hogy az alagút magát hitelesíti. A böngésző nem kitérő: ott hitelesíti az identitásszolgáltató valójában a személyt, az ügynök pedig csak vár az eredményre.

Egy bejelentkezés végigkövetése elejétől a végéig megmutatja, melyik lépéshez tartozik minden hiba, és éppen ezt a részt hagyja ki a legtöbb runbook.

Az ügynöknél kezdd, ne az átjáró konfigurációjánál

Az ügynök kérést épít, és a böngészőt az identitásszolgáltatóhoz küldi egy szolgáltatóazonosítóval és egy visszatérési hellyel. Ezután a szervezeted IdP-je azt futtatja, ami be van állítva: jelszó, MFA, eszközellenőrzés, feltételes hozzáférés. Ha a böngészőben már van érvényes munkamenet, a látható rész egy-két másodpercig tarthat. Ez a rövidség munkamenet-újrafelhasználás, nem kihagyott ellenőrzés.

Az ügynök föderációs konfigurációjában minden más előtt olvass el két értéket: az általa megbízott IdP metaadatait vagy URL-jét, és az elvárt visszahívási címet. Az ottani eltérés még azelőtt meghiúsul, hogy bármilyen jelszót beírjanak.

Mit kell visszaadnia az identitásszolgáltatónak

Az IdP aláírt SAML-válasszal felel, amely állítást tartalmaz: ki az alany, ki adta ki, kinek szól, és mennyi ideig érvényes. Ezek a mezők a szerződés. A kibocsátónak, a közönségnek, a címzettnek és az érvényességi ablaknak mind egyeznie kell azzal, amit a szolgáltatás elvár.

A helyes IdP által aláírt, de más közönségnek címzett válasz továbbra is érvénytelen. Ezt az ellenőrzést hagyják ki, amikor metaadatokat másolnak laborból éles környezetbe.

Mit ellenőriz a VPN-szolgáltatás, mielőtt megbízik benned

A szolgáltatás a megbízható tanúsítványhoz ellenőrzi az aláírást, ellenőrzi a kibocsátót, a közönséget és a címzettet, majd kiértékeli az időfeltételeket. Csak ezután rendeli az állítást felhasználóhoz vagy csoporthoz, és alkalmazza a VPN engedélyezési szabályzatát. Itt a hitelesítés és az engedélyezés külön lépés, és egy érvényes állítás megfelelő csoport nélkül olyan munkamenetet ad, amely csatlakozik, de semmit nem ér el.

Az állítás hitelesítési anyag, nem jelszó. Más ügynökbe beilleszteni, vagy későbbi újracsatlakozáshoz megőrizni nem támogatott bejelentkezés.

Két élettartam, amely külön ér véget

A böngésző-munkamenet az IdP-nél és a VPN-munkamenet az átjárónál külön órán jár le. Az IdP-ből való kijelentkezés nem feltétlenül bontja le a meglévő alagutat, az alagút bontása pedig nem jelentkeztet ki a böngészőből.

Az AWS Client VPN dokumentálja, hogy föderált folyamata nem támogatja az SAML egyszeri kijelentkezést, ami konkrét példa erre a résre. Ellenőrizd a saját szolgáltatásodat, ne feltételezz szimmetriát.

Ezért viselkedik máshogy az újracsatlakozás 09:00-kor és 15:00-kor. Csendben újrahasználhatja az IdP-munkamenetet, újra MFA-t kérhet, vagy meghiúsulhat, mert a végpont munkamenetének időtartama lejárt, a böngészőé viszont nem. Az AWS föderációs munkafolyamata leírja a saját ügynök- és válaszkövetelményeit, és más szolgáltatások más átadást használnak.

Ha a böngészőlépés meghiúsul, ezeket nézd meg ebben a sorrendben

A böngészőtől kifelé haladj, mert a hibaüzenet általában az utolsó, nem az első ugrást nevezi meg.

Ha az oldal soha nem töltődik be, az ügynök IdP URL-je vagy az odavezető útvonal hibás. Ha az IdP elutasítja a kérést, a szolgáltatóazonosító vagy a visszahívás nem egyezik a konfigurációjával. Ha a böngésző sikert mutat, és az ügynök mégis meghiúsul, a válasz rossz helyre érkezett, vagy elbukott a közönség- és időellenőrzésen. És ha az alagút hozzáférés nélkül jön fel, az állítást elfogadták, de a csoport-hozzárendelést nem.

Tartsd egy dokumentumban az elvárt oldalt, a visszahívást és a csoport-hozzárendelést. Akkor a hibás VPN-bejelentkezést jelentő felhasználó meg tudja mondani, melyiket látta a négy közül, és a válasz már félig meg van írva.