Ինչ է տեղի ունենում դաշնային VPN մուտքի դիտարկիչի քայլում

Սեղմում եք Միանալ, և գաղտնաբառի դաշտի փոխարեն VPN հաճախորդը բացում է ձեր դիտարկիչը։ Այդ փոխանցումը շփոթեցնում է նրանց, ովքեր սպասում են, որ թունելը ինքն իրեն կվավերացնի։ Դիտարկիչը շրջանցում չէ. հենց այնտեղ ինքնության տրամադրողը իրականում վավերացնում է մարդուն, իսկ հաճախորդը միայն սպասում է արդյունքին։

Մեկ մուտքը սկզբից մինչև վերջ հետևելը ցույց է տալիս, թե որ քայլին է պատկանում յուրաքանչյուր ձախողում, և հենց այդ մասն են բաց թողնում runbook-ների մեծ մասը։

Սկսեք հաճախորդից, ոչ թե դարպասի կարգավորումից

Հաճախորդը կառուցում է հարցում և ուղարկում դիտարկիչը ինքնության տրամադրողին ծառայություն մատուցողի նույնացուցիչով և վերադարձի հասցեով։ Այնուհետև ձեր կազմակերպության IdP-ն կատարում է այն, ինչ կարգավորված է՝ գաղտնաբառ, MFA, սարքի ստուգում, պայմանական մուտք։ Եթե դիտարկիչն արդեն ունի վավեր սեսիա, տեսանելի մասը կարող է տևել մեկ-երկու վայրկյան։ Այդ կարճությունը սեսիայի վերաօգտագործում է, ոչ թե բաց թողնված ստուգում։

Նախքան մնացած ամեն ինչ, հաճախորդի դաշնային կարգավորումից կարդացեք երկու արժեք՝ IdP-ի մետատվյալները կամ URL-ը, որին վստահում է, և վերադարձի հասցեն, որը սպասում է։ Այնտեղ անհամապատասխանությունը ձախողվում է նախքան որևէ գաղտնաբառ մուտքագրելը։

Ինչ պետք է վերադարձնի ինքնության տրամադրողը

IdP-ն պատասխանում է ստորագրված SAML պատասխանով, որը պարունակում է հայտարարություն՝ ով է սուբյեկտը, ով է թողարկել, ում համար է և որքան ժամանակ է վավեր։ Այդ դաշտերը պայմանագիրն են։ Թողարկողը, լսարանը, ստացողը և վավերականության պատուհանը պետք է համապատասխանեն այն ամենին, ինչ սպասում է ծառայությունը։

Ճիշտ IdP-ի կողմից ստորագրված, բայց այլ լսարանի հասցեագրված պատասխանը դեռ անվավեր է։ Այդ ստուգումն են բաց թողնում, երբ մետատվյալները լաբորատորիայից տեղափոխում են արտադրություն։

Ինչ է վավերացնում VPN ծառայությունը նախքան ձեզ վստահելը

Ծառայությունը ստուգում է ստորագրությունը վստահելի վկայագրի դեմ, ստուգում թողարկողը, լսարանը և ստացողը, ապա գնահատում ժամանակային պայմանները։ Միայն դրանից հետո այն քարտեզագրում է հայտարարությունը օգտատիրոջ կամ խմբի և կիրառում VPN լիազորության քաղաքականությունը։ Այստեղ նույնականացումը և լիազորումը առանձին քայլեր են, և համապատասխան խումբ չունեցող վավեր հայտարարությունը տալիս է սեսիա, որը միանում է և ոչ մի տեղ չի հասնում։

Հայտարարությունը նույնականացման նյութ է, ոչ գաղտնաբառ։ Այն այլ հաճախորդի մեջ տեղադրելը կամ հետագա վերամիացման համար պահելը աջակցվող մուտք չէ։

Երկու կյանք, որոնք ավարտվում են առանձին

IdP-ի դիտարկիչի սեսիան և դարպասի VPN սեսիան սպառվում են տարբեր ժամացույցներով։ IdP-ից դուրս գալը պարտադիր չէ, որ քանդի հաստատված թունելը, իսկ թունելի անջատումը ձեզ դուրս չի հանում դիտարկիչից։

AWS Client VPN-ը փաստագրում է, որ իր դաշնային հոսքը չի աջակցում SAML միակի դուրսգրում, ինչը այդ բացի կոնկրետ օրինակն է։ Ստուգեք ձեր սեփական ծառայությունը, փոխարենը չենթադրեք համաչափություն։

Այդ պատճառով վերամիացումը տարբեր է վարվում ժամը 09:00-ին և 15:00-ին։ Այն կարող է լուռ վերաօգտագործել IdP սեսիան, նորից պահանջել MFA կամ ձախողվել, որովհետև վերջնակետի սեսիայի տևողությունը սպառվել է, իսկ դիտարկիչինը՝ ոչ։ AWS-ի դաշնային հոսքը նկարագրում է իր հաճախորդի և պատասխանի պահանջները, իսկ այլ ծառայություններ օգտագործում են այլ փոխանցումներ։

Երբ դիտարկիչի քայլը ձախողվում է, ստուգեք սրանք հերթով

Աշխատեք դիտարկիչից դեպի դուրս, որովհետև սխալի հաղորդագրությունը սովորաբար անվանում է վերջին ցատկը, ոչ առաջինը։

Եթե էջը երբեք չի բեռնվում, հաճախորդի IdP URL-ը կամ դեպի այն տանող ուղին սխալ է։ Եթե IdP-ն մերժում է հարցումը, ծառայություն մատուցողի նույնացուցիչը կամ վերադարձը չեն համապատասխանում նրա կարգավորմանը։ Եթե դիտարկիչը հաջողություն է ցույց տալիս, իսկ հաճախորդը դեռ ձախողվում է, պատասխանը հասել է սխալ տեղ կամ ձախողվել է լսարանի և ժամանակի վավերացումը։ Իսկ եթե թունելը բարձրանում է առանց հասանելիության, հայտարարությունը ընդունվել է, բայց խմբի քարտեզագրումը՝ ոչ։

Պահեք սպասվող էջը, վերադարձը և խմբի քարտեզագրումը մեկ փաստաթղթում։ Այնուհետև կոտրված VPN մուտքի մասին հայտնող օգտատերը կարող է ասել, թե այդ չորսից որն է տեսել, և պատասխանն արդեն կիսով չափ գրված է։