Hvað gerist í vafraþrepinu í sambandsbundinni VPN-innskráningu

Þú ýtir á Tengja og í stað lykilorðsreits opnar VPN-biðlarinn vafrann þinn. Þessi afhending ruglar fólki sem býst við að göngin auðkenni sig sjálf. Vafrinn er ekki krókur: þar auðkennir auðkennisveitan manneskjuna í raun, og biðlarinn bíður bara eftir niðurstöðunni.

Að fylgja einni innskráningu frá upphafi til enda sýnir hvaða þrepi hver bilun tilheyrir, og það er einmitt hlutinn sem flestar runbookur sleppa.

Byrjaðu á biðlaranum, ekki stillingum gáttarinnar

Biðlarinn byggir beiðni og sendir vafrann til auðkennisveitunnar með auðkenni þjónustuveitanda og afturkoma stað. Síðan keyrir IdP stofnunarinnar það sem stillt er: lykilorð, MFA, tækjaskoðun, skilyrt aðgang. Ef vafrinn hefur þegar gilda lotu getur sýnilegi hlutinn tekið eina eða tvær sekúndur. Sú skammstöfun er endurnotkun lotu, ekki sleppt athugun.

Lestu í sambandsstillingum biðlarans tvö gildi fyrir allt annað: IdP-lýsigögnin eða slóðina sem hann treystir, og afturkallsheimið sem hann væntir. Ósamræmi þar bregst áður en nokkurt lykilorð er slegið.

Hvað auðkennisveitan verður að skila

IdP svarar með undirrituðu SAML-svari sem inniheldur fullyrðingu: hver er viðfangsefnið, hver gaf það út, fyrir hvern það er og hversu lengi það gildir. Þessi svæði eru samningurinn. Útgefandi, áhorfendur, viðtakandi og gildistími verða öll að passa við það sem þjónustan væntir.

Svar undirritað af réttu IdP en beint að öðrum áhorfendum er samt ógilt. Það er athugunin sem fólk sleppir þegar það afritar lýsigögn úr rannsóknarstofu í framleiðslu.

Hvað VPN-þjónustan staðfestir áður en hún treystir þér

Þjónustan sannreynir undirskriftina gegn treystu vottorðinu, athugar útgefandann, áhorfendurna og viðtakandann og metur svo tímskilyrðin. Aðeins eftir það varpar hún fullyrðingunni á notanda eða hóp og beitir VPN-heimildastefnunni. Auðkenning og heimild eru hér aðskilin þrep, og gild fullyrðing án samsvarandi hóps gefur lotu sem tengist og nær engu.

Fullyrðingin er auðkenningarefni, ekki lykilorð. Að líma hana í annan biðlara, eða geyma hana fyrir síðari endurtengingu, er ekki studd innskráning.

Tvær lífstíðir sem enda aðskildar

Vafralotan hjá IdP og VPN-lotan hjá gáttinni renna út á mismunandi klukkum. Að skrá sig út hjá IdP rífur ekki endilega niður uppsett göng, og að aftengja göngin skráir þig ekki út úr vafranum.

AWS Client VPN skjalfestir að sambandsflæði þess styðji ekki SAML-staka útsskráningu, sem er áþreifanlegt dæmi um þetta bil. Athugaðu þína eigin þjónustu í stað þess að gera ráð fyrir samhverfu.

Þess vegna hegðar endurtenging sér öðruvísi kl. 09:00 og kl. 15:00. Hún getur endurnýtt IdP-lotuna hljóðlaust, beðið um MFA aftur eða mistekist vegna þess að lotutími endapunktsins rann út en vafralotan ekki. Sambandsflæði AWS lýsir eigin kröfum sínum um biðlara og svar, og aðrar þjónustur nota aðrar afhendingar.

Þegar vafraþrepið bregst, athugaðu þetta í röð

Vinndu frá vafranum og út, því villuskilaboðin nefna venjulega síðasta stökkið en ekki það fyrsta.

Ef síðan hleðst aldrei er IdP-slóð biðlarans eða leiðin þangað röng. Ef IdP hafnar beiðninni passa auðkenni þjónustuveitanda eða afturkallið ekki við stillingar þess. Ef vafrinn sýnir árangur og biðlarinn mistekst samt náði svarið rangri stað eða féll á áhorfenda- og tímafullgildingu. Og ef göngin koma upp án aðgangs var fullyrðingin samþykkt en hópavörpunin ekki.

Haltu væntanlegu síðunni, afturkallinu og hópavörpuninni í einu skjali. Þá getur notandi sem tilkynnir bilaða VPN-innskráningu sagt hvað af þessum fjórum hlutum hann sá, og svarið er þegar hálfskrifað.