Cosa succede nel passaggio del browser di un accesso VPN federato

Fai clic su Connetti e, invece di un campo password, il client VPN apre il browser. Questo passaggio di consegne confonde chi si aspetta che il tunnel si autentichi da solo. Il browser non è una deviazione: è lì che il provider di identità autentica davvero la persona, e il client aspetta solo il risultato.

Segui un accesso dall'inizio alla fine mostra a quale passo appartiene ogni errore, ed è proprio la parte che la maggior parte dei runbook salta.

Parti dal client, non dalla configurazione del gateway

Il client costruisce una richiesta e invia il browser al provider di identità con un identificatore di service provider e un indirizzo di ritorno. L'IdP della tua organizzazione esegue poi ciò che è configurato: password, MFA, controllo del dispositivo, accesso condizionale. Se il browser ha già una sessione valida, la parte visibile può durare un secondo o due. Questa brevità è riuso della sessione, non un controllo saltato.

Leggi nella configurazione di federazione del client due valori prima di tutto il resto: i metadati o l'URL dell'IdP di cui si fida, e l'indirizzo di callback che si aspetta. Un disallineamento lì fallisce prima che venga digitata qualsiasi password.

Cosa deve restituire il provider di identità

L'IdP risponde con una risposta SAML firmata contenente un'asserzione: chi è il soggetto, chi l'ha emessa, a chi è destinata e per quanto tempo è valida. Quei campi sono il contratto. Emittente, audience, destinatario e finestra di validità devono tutti corrispondere a ciò che il servizio si aspetta.

Una risposta firmata dall'IdP giusto ma indirizzata a un'altra audience resta non valida. È il controllo che si salta quando si copiano i metadati da un laboratorio alla produzione.

Cosa valida il servizio VPN prima di fidarsi di te

Il servizio verifica la firma con il certificato attendibile, controlla emittente, audience e destinatario, poi valuta le condizioni temporali. Solo dopo mappa l'asserzione su un utente o un gruppo e applica la politica di autorizzazione VPN. Autenticazione e autorizzazione sono qui passaggi separati, e un'asserzione valida senza un gruppo corrispondente produce una sessione che si connette e non raggiunge nulla.

L'asserzione è materiale di autenticazione, non una password. Incollarla in un altro client, o conservarla per una riconnessione successiva, non è un accesso supportato.

Due durate che finiscono separatamente

La sessione del browser presso l'IdP e la sessione VPN sul gateway scadono con orologi diversi. Uscire dall'IdP non abbatte necessariamente un tunnel già stabilito, e disconnettere il tunnel non ti disconnette dal browser.

AWS Client VPN documenta che il suo flusso federato non supporta il single logout SAML, che è un esempio concreto di questa lacuna. Controlla il tuo servizio invece di presumere simmetria.

Per questo una riconnessione si comporta diversamente alle 09:00 e alle 15:00. Può riusare in silenzio la sessione IdP, chiedere di nuovo MFA o fallire perché la durata della sessione dell'endpoint è scaduta mentre quella del browser no. Il flusso di federazione AWS descrive i propri requisiti di client e di risposta, e altri servizi usano passaggi diversi.

Quando il passaggio del browser fallisce, controlla questi in ordine

Lavora dal browser verso l'esterno, perché il messaggio di errore di solito nomina l'ultimo salto e non il primo.

Se la pagina non si carica mai, l'URL IdP del client o il percorso verso di essa è sbagliato. Se l'IdP rifiuta la richiesta, l'identificatore di service provider o il callback non corrispondono alla sua configurazione. Se il browser mostra successo e il client fallisce ancora, la risposta è arrivata nel posto sbagliato o non ha superato la validazione di audience e tempo. E se il tunnel sale senza accesso, l'asserzione è stata accettata ma non la mappatura dei gruppi.

Tieni la pagina attesa, il callback e la mappatura dei gruppi in un unico documento. Così un utente che segnala un accesso VPN rotto può dire quale di queste quattro cose ha visto, e la risposta è già scritta a metà.