რა ხდება ფედერაციული VPN-ის შესვლის ბრაუზერის საფეხურზე

აჭერთ დაკავშირებას და პაროლის ველის ნაცვლად VPN კლიენტი თქვენს ბრაუზერს ხსნის. ეს გადაცემა აბნევს მათ, ვინც ელოდება, რომ გვირაბი თავად ავტორიზდება. ბრაუზერი გვერდულობა არ არის: სწორედ იქ ახდენს იდენტობის მომწოდებელი ადამიანის ნამდვილ ავტორიზაციას, კლიენტი კი მხოლოდ შედეგს ელოდება.

ერთი შესვლის თავიდან ბოლომდე თვალყურის დევნება გვიჩვენებს, რომელ საფეხურს ეკუთვნის თითოეული ხარვეზი, და სწორედ ამ ნაწილს გამოტოვებს runbook-ების უმეტესობა.

დაიწყეთ კლიენტიდან და არა კარიბჭის კონფიგურაციიდან

კლიენტი აგებს მოთხოვნას და უგზავნის ბრაუზერს იდენტობის მომწოდებელთან მომსახურების მომწოდებლის იდენტიფიკატორითა და დაბრუნების მისამართით. შემდეგ თქვენი ორგანიზაციის IdP ასრულებს იმას, რაც კონფიგურირებულია: პაროლი, MFA, მოწყობილობის შემოწმება, პირობითი წვდომა. თუ ბრაუზერს უკვე აქვს მოქმედი სესია, ხილული ნაწილი შეიძლება ერთ-ორ წამს გაგრძელდეს. ეს სიმოკლე სესიის ხელახალი გამოყენებაა და არა გამოტოვებული შემოწმება.

ყველაფერზე ადრე წაიკითხეთ კლიენტის ფედერაციის კონფიგურაციაში ორი მნიშვნელობა: IdP-ის მეტამონაცემები ან URL, რომელსაც ენდობა, და დაბრუნების მისამართი, რომელსაც ელოდება. იქაური შეუსაბამობა წარუმატებელია ნებისმიერი პაროლის აკრეფამდე.

რა უნდა დააბრუნოს იდენტობის მომწოდებელმა

IdP პასუხობს ხელმოწერილი SAML პასუხით, რომელიც შეიცავს მტკიცებას: ვინ არის სუბიექტი, ვინ გამოსცა, ვისთვის არის და რამდენი ხანია მოქმედი. ეს ველები კონტრაქტია. გამომცემელი, აუდიტორია, მიმღები და ვალიდურობის ფანჯარა უნდა შეესაბამებოდეს იმას, რასაც სერვისი ელოდება.

სწორი IdP-ის მიერ ხელმოწერილი, მაგრამ სხვა აუდიტორიაზე მიმართული პასუხი მაინც უვალიდოა. სწორედ ამ შემოწმებას გამოტოვებენ, როცა მეტამონაცემებს ლაბორატორიიდან წარმოებაში აკოპირებენ.

რას ამოწმებს VPN სერვისი სანამ გენდობათ

სერვისი ამოწმებს ხელმოწერას სანდო სერტიფიკატის მიმართ, ამოწმებს გამომცემელს, აუდიტორიასა და მიმღებს, შემდეგ აფასებს დროის პირობებს. მხოლოდ ამის შემდეგ აკავშირებს მტკიცებას მომხმარებელს ან ჯგუფს და იყენებს VPN-ის ავტორიზაციის პოლიტიკას. აქ აუტენტიფიკაცია და ავტორიზაცია ცალკე საფეხურებია, და შესაბამისი ჯგუფის გარეშე მოქმედი მტკიცება იძლევა სესიას, რომელიც უკავშირდება და არსად აღწევს.

მტკიცება აუტენტიფიკაციის მასალაა და არა პაროლი. მისი სხვა კლიენტში ჩასმა ან მოგვიანებით ხელახალი დაკავშირებისთვის შენახვა მხარდაჭერილი შესვლა არ არის.

ორი სიცოცხლე, რომლებიც ცალ-ცალკე მთავრდება

ბრაუზერის სესია IdP-ში და VPN სესია კარიბჭეზე სხვადასხვა საათზე იწურება. IdP-დან გასვლა სულაც არ რღვევს დამყარებულ გვირაბს, ხოლო გვირაბის გათიშვა თქვენ ბრაუზერიდან არ გაგიყვანთ.

AWS Client VPN ადასტურებს, რომ მისი ფედერაციული ნაკადი SAML-ის ერთჯერად გასვლას არ უჭერს მხარს, რაც ამ ხარვეზის კონკრეტული მაგალითია. შეამოწმეთ საკუთარი სერვისი და ნუ ივარაუდებთ სიმეტრიას.

ამიტომ ხელახალი დაკავშირება განსხვავებულად იქცევა 09:00-ზე და 15:00-ზე. მან შეიძლება ჩუმად ხელახლა გამოიყენოს IdP სესია, კვლავ მოითხოვოს MFA, ან ვერ შეძლოს, რადგან საბოლოო წერტილის სესიის ხანგრძლივობა ამოიწურა, ბრაუზერისა კი არა. AWS-ის ფედერაციის ნაკადი აღწერს საკუთარ კლიენტურ და პასუხის მოთხოვნებს, სხვა სერვისები კი სხვა გადაცემებს იყენებენ.

როცა ბრაუზერის საფეხური ვერ სრულდება, შეამოწმეთ ეს თანმიმდევრობით

იმუშავეთ ბრაუზერიდან გარეთ, რადგან შეცდომის შეტყობინება ჩვეულებრივ ბოლო ნახტომს ასახელებს და არა პირველს.

თუ გვერდი არასდროს იტვირთება, კლიენტის IdP URL ან მისკენ მიმავალი გზა არასწორია. თუ IdP მოთხოვნას უარყოფს, მომსახურების მომწოდებლის იდენტიფიკატორი ან დაბრუნება მის კონფიგურაციას არ შეესაბამება. თუ ბრაუზერი წარმატებას აჩვენებს და კლიენტი მაინც ვერ ახერხებს, პასუხი არასწორ ადგილას მოხვდა ან აუდიტორიისა და დროის ვალიდაცია ვერ გაიარა. ხოლო თუ გვირაბი წვდომის გარეშე ადის, მტკიცება მიღებულია, ჯგუფის დაკავშირება კი არა.

შეინახეთ მოსალოდნელი გვერდი, დაბრუნება და ჯგუფის დაკავშირება ერთ დოკუმენტში. მაშინ დაზიანებული VPN შესვლის შესახებ მოხსენებული მომხმარებელი იტყვის, ამ ოთხიდან რომელი ნახა, და პასუხი უკვე ნახევრად დაწერილია.