Kas vyksta federacinio VPN prisijungimo naršyklės etape

Spaudžiate Prisijungti, ir vietoje slaptažodžio lauko VPN klientas atidaro jūsų naršyklę. Šis perdavimas klaidina tuos, kurie tikisi, kad tunelis pats autentifikuosis. Naršyklė nėra apėjimas: būtent ten tapatybės teikėjas iš tikrųjų autentifikuoja asmenį, o klientas tik laukia rezultato.

Vieno prisijungimo sekimas nuo pradžios iki pabaigos parodo, kuriam etapui priklauso kiekviena klaida, ir būtent šią dalį dauguma runbookų praleidžia.

Pradėkite nuo kliento, o ne nuo tinklų sietuvo konfigūracijos

Klientas sudaro užklausą ir siunčia naršyklę tapatybės teikėjui su paslaugos teikėjo identifikatoriumi ir grįžimo vieta. Tada jūsų organizacijos IdP atlieka tai, kas sukonfigūruota: slaptažodį, MFA, įrenginio patikrą, sąlyginę prieigą. Jei naršyklė jau turi galiojančią sesiją, matoma dalis gali trukti sekundę ar dvi. Šis trumpumas yra sesijos pakartotinis naudojimas, o ne praleista patikra.

Visų pirma kliento federacijos konfigūracijoje perskaitykite dvi reikšmes: IdP metaduomenis arba URL, kuriuo jis pasitiki, ir laukiamą grįžimo adresą. Ten neatitikimas nepavyksta dar neįvedus jokio slaptažodžio.

Ką tapatybės teikėjas turi grąžinti

IdP atsako pasirašytu SAML atsakymu, kuriame yra teiginys: kas yra subjektas, kas jį išdavė, kam jis skirtas ir kiek galioja. Tie laukai yra sutartis. Išdavėjas, auditorija, gavėjas ir galiojimo langas turi atitikti tai, ko tikisi paslauga.

Tinkamo IdP pasirašytas, bet kitai auditorijai adresuotas atsakymas vis tiek negalioja. Šią patikrą žmonės praleidžia kopijuodami metaduomenis iš laboratorijos į produkciją.

Ką VPN paslauga patikrina prieš pasitikėdama jumis

Paslauga patikrina parašą su patikimuoju sertifikatu, patikrina išdavėją, auditoriją ir gavėją, tada įvertina laiko sąlygas. Tik po to ji susieja teiginį su naudotoju ar grupe ir pritaiko VPN autorizacijos politiką. Čia autentifikacija ir autorizacija yra atskiri žingsniai, o galiojantis teiginys be atitinkamos grupės duoda sesiją, kuri prisijungia ir nieko nepasiekia.

Teiginys yra autentifikacijos medžiaga, o ne slaptažodis. Įklijuoti jį į kitą klientą ar pasilikti vėlesniam prisijungimui nėra palaikomas prisijungimas.

Du gyvavimo laikai, kurie baigiasi atskirai

Naršyklės sesija IdP ir VPN sesija ties sietuvu baigiasi skirtingais laikrodžiais. Atsijungus nuo IdP nebūtinai nutraukiamas jau sukurtas tunelis, o nutraukus tunelį nebūnate atjungiami nuo naršyklės.

AWS Client VPN dokumentuoja, kad jo federacinis srautas nepalaiko vienkartinio SAML atsijungimo, ir tai yra konkretus šios spragos pavyzdys. Tikrinkite savo paslaugą, o ne darykite prielaidą apie simetriją.

Todėl prisijungimas iš naujo elgiasi kitaip 09:00 ir 15:00. Jis gali tyliai panaudoti IdP sesiją iš naujo, vėl paprašyti MFA arba nepavykti, nes baigėsi galinio taško sesijos trukmė, o naršyklės sesija ne. AWS federacijos darbo eiga aprašo savo kliento ir atsakymo reikalavimus, o kitos paslaugos naudoja kitokius perdavimus.

Kai naršyklės etapas nepavyksta, tikrinkite tai iš eilės

Dirbkite nuo naršyklės į išorę, nes klaidos pranešimas paprastai įvardija paskutinį, o ne pirmą šuolį.

Jei puslapis niekada neužsikrauna, kliento IdP URL arba kelias iki jo yra neteisingas. Jei IdP atmeta užklausą, paslaugos teikėjo identifikatorius arba grįžimo adresas neatitinka jo konfigūracijos. Jei naršyklė rodo sėkmę, o klientas vis tiek nepavyksta, atsakymas pateko ne ten arba nepraėjo auditorijos ir laiko patikros. O jei tunelis pakyla be prieigos, teiginys buvo priimtas, bet grupės susiejimas ne.

Laikykite laukiamą puslapį, grįžimo adresą ir grupės susiejimą viename dokumente. Tada naudotojas, pranešęs apie sugedusį VPN prisijungimą, galės pasakyti, kurią iš šių keturių dalykų jis matė, ir atsakymas jau bus pusiau parašytas.