Apa yang Terjadi pada Langkah Browser dalam Login VPN Terfederasi

Anda menekan Hubungkan, dan alih-alih kotak kata sandi, klien VPN membuka browser Anda. Penyerahan ini membingungkan orang yang mengira terowongan akan mengautentikasi dirinya sendiri. Browser bukan jalan memutar: di sanalah penyedia identitas benar-benar mengautentikasi orangnya, dan klien hanya menunggu hasilnya.

Menelusuri satu login dari awal hingga akhir menunjukkan ke langkah mana setiap kegagalan termasuk, dan itulah bagian yang dilewatkan sebagian besar runbook.

Mulai dari klien, bukan dari konfigurasi gateway

Klien membangun permintaan dan mengirim browser ke penyedia identitas dengan pengenal penyedia layanan dan lokasi kembali. IdP organisasi Anda lalu menjalankan apa yang dikonfigurasi: kata sandi, MFA, pemeriksaan perangkat, akses bersyarat. Jika browser sudah memiliki sesi yang valid, bagian yang terlihat bisa berlangsung satu atau dua detik. Singkatnya itu adalah penggunaan ulang sesi, bukan pemeriksaan yang dilewati.

Baca dua nilai dalam konfigurasi federasi klien sebelum hal lain: metadata atau URL IdP yang dipercayainya, dan alamat callback yang diharapkannya. Ketidakcocokan di sana gagal sebelum kata sandi apa pun diketik.

Apa yang harus dikembalikan penyedia identitas

IdP menjawab dengan respons SAML bertanda tangan yang berisi pernyataan: siapa subjeknya, siapa yang menerbitkannya, untuk siapa, dan berapa lama valid. Kolom itu adalah kontraknya. Penerbit, audiens, penerima, dan jendela validitas harus cocok dengan yang diharapkan layanan.

Respons yang ditandatangani IdP yang benar tetapi dialamatkan ke audiens lain tetap tidak valid. Itulah pemeriksaan yang dilewatkan orang saat menyalin metadata dari lab ke produksi.

Apa yang divalidasi layanan VPN sebelum memercayai Anda

Layanan memverifikasi tanda tangan terhadap sertifikat tepercaya, memeriksa penerbit, audiens, dan penerima, lalu mengevaluasi syarat waktu. Setelah itu barulah ia memetakan pernyataan ke pengguna atau grup dan menerapkan kebijakan otorisasi VPN. Autentikasi dan otorisasi adalah langkah terpisah di sini, dan pernyataan valid tanpa grup yang cocok menghasilkan sesi yang tersambung dan tidak mencapai apa pun.

Pernyataan itu materi autentikasi, bukan kata sandi. Menempelkannya ke klien lain, atau menyimpannya untuk koneksi ulang nanti, bukan login yang didukung.

Dua masa hidup yang berakhir terpisah

Sesi browser di IdP dan sesi VPN di gateway kedaluwarsa pada jam yang berbeda. Keluar dari IdP tidak selalu membongkar terowongan yang sudah terbentuk, dan memutus terowongan tidak mengeluarkan Anda dari browser.

AWS Client VPN mendokumentasikan bahwa alur terfederasinya tidak mendukung logout tunggal SAML, yang merupakan contoh konkret dari celah ini. Periksa layanan Anda sendiri alih-alih mengasumsikan simetri.

Itu sebabnya koneksi ulang berperilaku berbeda pada pukul 09:00 dan pukul 15:00. Ia dapat memakai ulang sesi IdP secara diam-diam, meminta MFA lagi, atau gagal karena durasi sesi endpoint sudah habis sementara sesi browser belum. Alur federasi AWS menjelaskan persyaratan klien dan responsnya sendiri, dan layanan lain memakai penyerahan yang berbeda.

Saat langkah browser gagal, periksa ini secara berurutan

Bekerjalah dari browser ke luar, karena pesan kesalahan biasanya menyebut lompatan terakhir, bukan yang pertama.

Jika halaman tidak pernah dimuat, URL IdP klien atau jalur ke sana salah. Jika IdP menolak permintaan, pengenal penyedia layanan atau callback tidak cocok dengan konfigurasinya. Jika browser menunjukkan keberhasilan dan klien tetap gagal, respons mencapai tempat yang salah atau gagal validasi audiens dan waktu. Dan jika terowongan naik tanpa akses, pernyataan diterima tetapi pemetaan grup tidak.

Simpan halaman yang diharapkan, callback, dan pemetaan grup dalam satu dokumen. Dengan begitu pengguna yang melaporkan login VPN rusak dapat menyebut mana dari empat hal itu yang dilihatnya, dan jawabannya sudah setengah tertulis.