Федеративдик VPN кирүүнүн браузер кадамында эмне болот

Кошулуу баскычын басасыз, жана сырсөз талаасынын ордуна VPN кардары браузериңизди ачат. Бул өткөрүү туннел өзү аутентификация болот деп күткөндөрдү адаштырат. Браузер айланып өтүү эмес: дал ошол жерде идентификация берүүчү адамды чындап аутентификациялайт, ал эми кардар натыйжаны гана күтөт.

Бир кирүүнү башынан аягына чейин көзөмөлдөө ар бир ката кайсы кадамга таандык экенин көрсөтөт, жана көпчүлүк runbook ушул бөлүктү өткөрүп жиберет.

Шлюз конфигурациясынан эмес, кардардан баштаңыз

Кардар сурам түзүп, тейлөө берүүчүнүн идентификатору жана кайтуу дареги менен браузерди идентификация берүүчүгө жөнөтөт. Андан кийин уюмуңуздун IdP конфигурацияланганын аткарат: сырсөз, MFA, түзмөктү текшерүү, шарттуу кирүү. Эгер браузерде жарактуу сессия болсо, көрүнгөн бөлүгү бир-эки секундга созулушу мүмкүн. Бул кыскалык сессияны кайра колдонуу, өткөрүп жиберилген текшерүү эмес.

Баарынан мурун кардардын федерация конфигурациясында эки маанини окуңуз: ал ишенген IdP метаберилиши же URL, жана ал күткөн кайтуу дареги. Ал жердеги дал келбестик кандайдыр бир сырсөз киргизилгенге чейин ийгиликсиз болот.

Идентификация берүүчү эмнени кайтарышы керек

IdP кол коюлган SAML жообу менен жооп берет, анда ырастоо бар: субъект ким, ким берген, кимге арналган жана канча убакыт жарактуу. Бул талаалар келишим. Берүүчү, аудитория, алуучу жана жарактуулук терезеси тейлөө күткөнгө туура келиши керек.

Туура IdP кол койгон, бирок башка аудиторияга багытталган жооп дагы эле жараксыз. Лабораториядан өндүрүшкө метаберилиштерди көчүргөндө ушул текшерүүнү өткөрүп жиберишет.

VPN тейлөөсү сизге ишенүүдөн мурун эмнени текшерет

Тейлөө кол тамганы ишеничтүү сертификатка салыштырып текшерет, берүүчүнү, аудиторияны жана алуучуну текшерет, анан убакыт шарттарын баалайт. Ошондон кийин гана ырастоону колдонуучуга же топко байланыштырып, VPN авторизация саясатын колдонот. Бул жерде аутентификация менен авторизация өзүнчө кадамдар, ал эми дал келген тобу жок жарактуу ырастоо туташкан, бирок эч жерге жетпеген сессия берет.

Ырастоо — аутентификация материалы, сырсөз эмес. Аны башка кардарга чаптоо же кийинки кайра туташуу үчүн сактоо колдоого алынган кирүү эмес.

Өзүнчө бүтө турган эки өмүр

IdPдеги браузер сессиясы менен шлюздеги VPN сессиясы ар башка саатта бүтөт. IdPден чыгуу орнотулган туннелди сөзсүз бузбайт, ал эми туннелди ажыратуу сизди браузерден чыгарбайт.

AWS Client VPN өзүнүн федеративдик агымы SAML жалгыз чыгууну колдобосун документтейт, бул ошол кемчиликтин так мисалы. Симметрияны божомолдобой, өз тейлөөңүздү текшериңиз.

Ошондуктан кайра туташуу 09:00 жана 15:00дө башкача жүрөт. Ал IdP сессиясын унчукпай кайра колдонушу, кайра MFA сурашы же акыркы чекиттин сессия узактыгы бүтүп, браузер сессиясы бүтпөгөндүктөн ийгиликсиз болушу мүмкүн. AWS федерация агымы өзүнүн кардар жана жооп талаптарын сүрөттөйт, башка тейлөөлөр башка өткөрүүлөрдү колдонот.

Браузер кадамы ийгиликсиз болсо, буларды ирети менен текшериңиз

Браузерден сыртка карай иштеңиз, анткени ката билдирүүсү адатта биринчи эмес, акыркы секирүүнү атайт.

Эгер барак эч качан жүктөлбөсө, кардардын IdP URL же ага бара турган жол туура эмес. Эгер IdP сурамды четке какса, тейлөө берүүчүнүн идентификатору же кайтуу анын конфигурациясына туура келбейт. Эгер браузер ийгилик көрсөтүп, кардар дагы эле ийгиликсиз болсо, жооп туура эмес жерге жеткен же аудитория жана убакыт текшерүүсүнөн өтпөгөн. Ал эми туннел кирүүсүз көтөрүлсө, ырастоо кабыл алынган, бирок топту байланыштыруу аткарылган эмес.

Күтүлгөн баракты, кайтууну жана топту байланыштырууну бир документте кармаңыз. Ошондо бузулган VPN кирүү тууралуу кабарлаган колдонуучу ушул төрт нерсенин кайсынысын көргөнүн айта алат, жана жооп жарым жазылган болот.