Федеративті VPN кіруінің браузер қадамында не болады

Қосылу түймесін басасыз, және құпиясөз өрісінің орнына VPN клиенті браузеріңізді ашады. Бұл тапсыру туннель өзі аутентификацияланады деп күтетіндерді шатастырады. Браузер айналма жол емес: дәл сонда сәйкестендіру провайдері адамды шынымен аутентификациялайды, ал клиент тек нәтижені күтеді.

Бір кіруді басынан аяғына дейін бақылау әр ақаудың қай қадамға жататынын көрсетеді, және көптеген runbook дәл осы бөлікті өткізіп жібереді.

Шлюз конфигурациясынан емес, клиенттен бастаңыз

Клиент сұраныс құрады және қызмет провайдерінің идентификаторы мен қайту мекенжайымен браузерді сәйкестендіру провайдеріне жібереді. Содан кейін ұйымыңыздың IdP конфигурацияланғанын орындайды: құпиясөз, MFA, құрылғыны тексеру, шартты қатынау. Егер браузерде жарамды сессия болса, көрінетін бөлік бір-екі секундқа созылуы мүмкін. Бұл қысқалық сессияны қайта пайдалану, өткізіп жіберілген тексеру емес.

Барлығынан бұрын клиенттің федерация конфигурациясында екі мәнді оқыңыз: ол сенетін IdP метадеректері немесе URL, және ол күтетін қайта шақыру мекенжайы. Ондағы сәйкессіздік кез келген құпиясөз енгізілмей тұрып сәтсіздікке әкеледі.

Сәйкестендіру провайдері нені қайтаруы керек

IdP қол қойылған SAML жауабымен жауап береді, онда тұжырым бар: субъект кім, кім шығарды, кімге арналған және қанша уақыт жарамды. Бұл өрістер келісім болып табылады. Шығарушы, аудитория, алушы және жарамдылық терезесі қызмет күтетінге сай болуы керек.

Дұрыс IdP қол қойған, бірақ басқа аудиторияға бағытталған жауап әлі де жарамсыз. Зертханадан өндіріске метадеректерді көшіргенде дәл осы тексеруді өткізіп жібереді.

VPN қызметі сізге сенбес бұрын нені тексереді

Қызмет қолтаңбаны сенімді сертификатпен тексереді, шығарушыны, аудиторияны және алушыны тексереді, содан кейін уақыт шарттарын бағалайды. Тек содан кейін тұжырымды пайдаланушыға немесе топқа сәйкестендіріп, VPN авторизация саясатын қолданады. Мұнда аутентификация мен авторизация бөлек қадамдар, ал сәйкес тобы жоқ жарамды тұжырым қосылатын, бірақ еш жерге жетпейтін сессия береді.

Тұжырым — аутентификация материалы, құпиясөз емес. Оны басқа клиентке қою немесе кейінгі қайта қосылу үшін сақтау қолдау көрсетілген кіру емес.

Бөлек аяқталатын екі ғұмыр

IdP-дегі браузер сессиясы мен шлюздегі VPN сессиясы әртүрлі сағатта бітеді. IdP-дан шығу орнатылған туннельді міндетті түрде бұзбайды, ал туннельді ажырату сізді браузерден шығармайды.

AWS Client VPN өзінің федеративті ағыны SAML жалғыз шығуды қолдамайтынын құжаттайды, бұл сол олқылықтың нақты мысалы. Симметрияны болжамай, өз қызметіңізді тексеріңіз.

Сондықтан қайта қосылу 09:00 мен 15:00-де басқаша әрекет етеді. Ол IdP сессиясын үнсіз қайта пайдалануы, қайта MFA сұрауы немесе соңғы нүкте сессиясының ұзақтығы бітіп, браузер сессиясы бітпегендіктен сәтсіз болуы мүмкін. AWS федерация ағыны өзінің клиент пен жауап талаптарын сипаттайды, ал басқа қызметтер басқа тапсыруларды пайдаланады.

Браузер қадамы сәтсіз болса, мыналарды ретімен тексеріңіз

Браузерден сыртқа қарай жұмыс істеңіз, өйткені қате хабарламасы әдетте бірінші емес, соңғы секірісті атайды.

Егер бет ешқашан жүктелмесе, клиенттің IdP URL-ы немесе оған апарар жол дұрыс емес. Егер IdP сұранысты қабылдамаса, қызмет провайдерінің идентификаторы немесе қайта шақыру оның конфигурациясына сай емес. Егер браузер сәттілік көрсетсе, ал клиент әлі де сәтсіз болса, жауап дұрыс емес жерге жетті немесе аудитория мен уақыт тексеруінен өтпеді. Ал егер туннель қатынаусыз көтерілсе, тұжырым қабылданды, бірақ топты сәйкестендіру орындалмады.

Күтілетін бетті, қайта шақыруды және топты сәйкестендіруді бір құжатта ұстаңыз. Сонда бұзылған VPN кіруі туралы хабарлаған пайдаланушы осы төрт нәрсенің қайсысын көргенін айта алады, және жауап жартылай жазылған болады.