VPN SSO колдонуучуларды ички колдонмолорго автоматтык түрдө киргизеби?

Идентификация провайдери аркылуу аутентификация кылган VPN дарбазасы бир нерсени гана далилдейт: провайдер колдонуучуну дарбазанын алдында кепилдеди. Ал бул колдонуучуга ички тармактын викисине, мониторинг тактасына же build-серверге күбөлүк бербейт. Ал кызматтар адамдарды өз федерациясы аркылуу киргизип, өз авторизациясын колдонушат, ал эми туннель кайсы пакеттер аларга жете аларын гана чечет.

Үч сессия, үч өзүнчө чечим

Абалдарды өзүнчө кармаңыз, анткени ар бири өз графиги боюнча бүтөт. VPN сессиясы — дарбазанын идентификацияны кабыл алышы жана берген тармактык жеткиликтиги. Идентификация провайдериндеги браузер сессиясы — браузердин ошол провайдер үчүн азыркыга чейин сактаганы жана анын саясатына ылайык кайра колдоно алары. Колдонмо сессиясы өзүнө жөнөтүлгөн жоопту текшерген бир кызматка таандык.

Бул абалдарды аралаштыруу туура эмес суроону жаратат, адатта туннель эмне үчүн колдонуучуну бардык жерде киргизбейт деп коюлат. Аны кайра түзүңүз: кайсы колдонмодо федерация жазуусу жок, кайсы колдонуучуну четке кагат жана кайсында маршрут жетишпейт. Ички тармактын колдонмосун ачкан бир кирүү сурамы баары бир провайдерге кайтып кетиши мүмкүн, анткени экинчи кайра багыттоо башка аудитория үчүн жаңы авторизация сурамы.

Дарбазаны өзүнүн жеке колдонмосу катары туташтырыңыз

VPNди провайдерде бекитилген колдонмо катары каттаңыз, анын өз идентификатору, кайра багыттоо URI жана колдонуучуларды дайындоосу менен. Андан кийин бул кирүү кандай тармактык авторизацияларды берерин чечиңиз, анткени бул VPN саясаты, провайдердин функциясы эмес. Мониторингдин субтармагына гана жетиши керек колдонуучулар башка дарбаза саясатын алышат, башка сырсөздү эмес.

Туннелдин аутентификация жообу кайра колдонулуучу күбөлүк эмес. OIDC ID токендери кайсы клиент үчүн чыгарылганын атаган аудитория дооматын алып жүрөт, SAML алып жүрүүчү билдирүүлөрү аудиторияны кабыл алуучу кызмат провайдери менен чектейт. Биринчи кызматтын жообун кабыл алган экинчи кызмат туура эмес конфигурацияланган, ал эми токенди башка колдонмого көчүрүү интеграция эмес.

Ар бир ички колдонмону каттаңыз, андан кийин браузердин контекстин орнотуңуз

Ар бир кызматка колдоого алынган SAML же OIDC маанилери керек: чыгаруучу, клиент идентификатору, кайтаруу чакыруу же доомат керектөөчү URL, талап кылынган дооматтар жана дайындоо. Жеткиликтүүлүк анын үстүнө кошулат, анткени идентификация текшерүүлөрү эч качан маршрут же DNS жообун бербейт.

1. Колдонмо жазуусун түзүңүз жана субъект же клиент ID колдонмо жөнөткөнгө туура келерин ырастаңыз.
2. Схема менен портту кошкондо так кайтаруу чакыруу URL каттаңыз; кичине ката колдонуучу аутентификациялангандан кийин ийгиликсиз болот.
3. Колдонуучуларды же топторду дайындаңыз, андан кийин талап кылынган дооматтардын чыгарылганын ырастаңыз.
4. Жеке колдонмомен катар идентификация провайдеринин акыркы чекиттерине уруксат бериңиз, болбосо кайра багыттоо бүтпөйт.

Браузердин контексти бар провайдер сессиясынын кайра колдонуларын чечет. Системалык браузерди ачкан жергиликтүү клиент бул абалды бөлүшө алат, ал эми өз cookie идиши бар эндүрүлгөн көрүнүш адатта бөлүшө албайт. Жаңы браузер, жеке терезелер жана экинчи профиль нөлдөн башталат, бул күтүлгөн нерсе, бузулган SSO конфигурациясы эмес.

Агымды иштетиңиз жана кайсы жерде токтойтун окуңуз

Браузердин тармактык панели менен кайра жаратыңыз жана кайра багыттоо тизмегин байкаңыз. Пайдалуу өтүү бир секирүүнү гана ээрчийт: дарбазадан провайдерге, провайдерден код же доомат менен колдонмого, колдонмодон провайдердин токен акыркы чекитине, колдонмо сессиясы чыгарылат. Тизмек токтогон секирүү оңдолуучу компонентти атайт.

Буйрук сабындагы эки текшерүү кадимки күмөндү чечет жана экөөнү тең администратор хостунен иштетүү коопсуз:

curl -s https://idp.example.com/.well-known/openid-configuration | jq -r '.authorization_endpoint, .token_endpoint'
curl -sI https://app.example.net/ | grep -iE '^(HTTP/|location:)'

Метаберилиштер сиз эч качан каттабаган акыркы чекиттерди тизмелесе, колдонмо башка ижарачыга же чыгаруучуга шилтейт. Колдонмого биринчи сурам күтүлбөгөн хостко 302 деп жооп берсе, кароо керек жер — колдонмонун федерация конфигурациясы, VPN профили эмес.

Сурамдарды ким сураганын таап оңдоңуз

Экинчи сырсөз сурамы автоматтык түрдө кемчилик эмес. Колдонмо жогорураак кепилдик деңгээлин сурашы мүмкүн, же провайдер сессиянын эң чоң жашын жана жаңы чакырыкты талап кылышы мүмкүн. Агымды тынч кылуу үчүн бул талаптарды алып салуу атайын коюлган көзөмөлдү алсыратат, ошондуктан саясатты өзгөртүүдөн мурун кайсы компонент сураганын аныктаңыз.

Андан кийин эмнени жакшыртуу керектигин чечиңиз. Сурам колдонмодон келсе, анын федерация жазуусун оңдоңуз. Саясатка ылайык провайдерден келсе, талапты документтештириңиз. Ийгиликтүү кирүүдөн кийин колдонмого жетүү мүмкүн болбосо, шектүү — туннелдин маршруттоосу, анткени идентификация жана пакеттерди жеткирүү ар кайсы жерлерде ийгиликсиз болот жана колдонуучунун ордунан окшош көрүнөт.