Wat geschitt am Browser-Schrëtt vun engem federéierte VPN-Login

Du klicksch op Verbannen, anstatt engem Passwuertfeld mécht de VPN-Client däi Browser op. Dës Iwwergab verwirrt Leit, déi erwaarden, datt den Tunnel sech selwer authentifizéiert. De Browser ass keen Ëmwee: do authentifizéiert den Identitéitsprovider d'Persoun tatsächlech, an de Client waart just op d'Resultat.

Ee Login vun Ufank bis Enn verfollegen weist, zu wéi engem Schrëtt all Feeler gehéiert, an dat ass genee deen Deel, deen déi meeschte Runbooke weglossen.

Fänk beim Client un, net bei der Gateway-Konfiguratioun

De Client baut eng Ufro a schéckt de Browser zum Identitéitsprovider mat enger Serviceprovider-Kennung an enger Zréckplaz. Duerno féiert den IdP vun denger Organisatioun aus, wat konfiguréiert ass: Passwuert, MFA, Apparatkontroll, bedingt Zougang. Wann de Browser schonn eng gëlteg Sessioun huet, kann de siichtbaren Deel eng oder zwou Sekonne daueren. Dës Kierz ass Sessiounsrecycling, net e iwwersprongene Kontroll.

Lies an der Federatiounskonfiguratioun vum Client zwou Wäerter virun allem aneren: d'IdP-Metadaten oder d'URL, déi en vertraut, an d'Callback-Adress, déi en erwaart. Eng Diskrepanz do feelt, ier iergendeen Passwuert getippt gëtt.

Wat den Identitéitsprovider zréckginn muss

Den IdP äntwert mat enger signéierter SAML-Antwert, déi eng Assertioun enthält: wien d'Subjet ass, wien se ausgestallt huet, fir wien se ass a wéi laang se gëlteg bleift. Dës Felder sinn de Kontrakt. Aussteller, Publikum, Empfänger a Gëltegkeetsfënster mussen alleguer dem entspriechen, wat den Déngscht erwaart.

Eng Äntwert, déi vum richtege IdP signéiert awer un en anert Publikum adresséiert ass, bleift ongëlteg. Dat ass de Kontroll, dee Leit iwwersprangen, wann se Metadaten aus engem Labor an d'Produktioun kopéieren.

Wat den VPN-Déngscht validéiert, ier en dir vertraut

Den Déngscht verifizéiert d'Signatur géint dat vertraut Zertifikat, kontrolléiert den Aussteller, de Publikum an den Empfänger a bewäert duerno d'Zäitbedingungen. Eréischt duerno mappt en d'Assertioun op e Benotzer oder eng Grupp a wend d'VPN-Autorisatiounspolitik un. Authentifizéierung an Autorisatioun sinn hei getrennt Schrëtt, an eng gëlteg Assertioun ouni passend Grupp gëtt eng Sessioun, déi sech verbënnt an näischt erreecht.

D'Assertioun ass Authentifizéierungsmaterial, keen Passwuert. Se an en anere Client ze pechen, oder se fir eng spéider Reconnectioun ze halen, ass keen ënnerstëtzte Login.

Zwee Liewensdaueren, déi getrennt ophalen

D'Browsersessioun beim IdP an d'VPN-Sessioun um Gateway lafen op verschiddenen Aueren of. Vum IdP ofmelden briecht net onbedéngt en etabléierten Tunnel of, an den Tunnel trennen mellt dech net aus dem Browser of.

AWS Client VPN dokumentéiert, datt säi federéierte Floss keen SAML-Single-Logout ënnerstëtzt, wat en konkrete Beispill vun dëser Lück ass. Kontrolléier däin eegenen Déngscht, amplaz Symmetrie unzehuelen.

Dofir verhält sech eng Reconnectioun ëm 09:00 anescht wéi ëm 15:00. Se kann d'IdP-Sessioun stëll recycléieren, erëm MFA froen oder feelen, well d'Dauer vun der Endpoint-Sessioun ofgelaf ass, déi vum Browser awer net. Den AWS-Federatiounsfloss beschreift seng eege Client- an Äntwertufuerderungen, an aner Déngschter benotzen aner Iwwergaben.

Wann de Browser-Schrëtt feelt, kontrolléier dëst an dëser Reihenfolge

Schaff vum Browser no baussen, well d'Feelkombildung meeschtens de leschte Sprong nennt an net den éischten.

Wann d'Säit ni lued, ass d'IdP-URL vum Client oder de Wee dohin falsch. Wann den IdP d'Ufro refuséiert, passe Serviceprovider-Kennung oder Callback net zu senger Konfiguratioun. Wann de Browser Succès weist an de Client trotzdem feelt, ass d'Äntwert op déi falsch Plaz komm oder huet d'Publikums- an Zäitvalidéierung verpasst. A wann den Tunnel ouni Zougang eropkënnt, gouf d'Assertioun akzeptéiert awer d'Gruppemapping net.

Hal d'erwaart Säit, de Callback an d'Gruppemapping an engem Dokument. Dann kann e Benotzer, dee vun engem futtse VPN-Login beriicht, soe wat vun dësen véier Dingen hien gesinn huet, an d'Äntwert ass schonn hallef geschriwwen.