Kas notiek federētās VPN pieteikšanās pārlūka solī

Nospiežat Savienot, un paroles lauka vietā VPN klients atver jūsu pārlūku. Šī nodošana mulsina tos, kuri gaida, ka tunelis autentificēsies pats. Pārlūks nav apvedceļš: tieši tur identitātes nodrošinātājs faktiski autentificē personu, un klients tikai gaida rezultātu.

Vienas pieteikšanās izsekošana no sākuma līdz beigām parāda, kuram solim pieder katra kļūda, un tieši šo daļu lielākā daļa runbooku izlaiž.

Sāciet ar klientu, nevis ar vārtejas konfigurāciju

Klients izveido pieprasījumu un nosūta pārlūku identitātes nodrošinātājam ar pakalpojuma sniedzēja identifikatoru un atgriešanās vietu. Pēc tam jūsu organizācijas IdP izpilda to, kas konfigurēts: paroli, MFA, ierīces pārbaudi, nosacītu piekļuvi. Ja pārlūkam jau ir derīga sesija, redzamā daļa var ilgt sekundi vai divas. Šis īsums ir sesijas atkārtota izmantošana, nevis izlaista pārbaude.

Pirms visa cita klienta federācijas konfigurācijā izlasiet divas vērtības: IdP metadatus vai URL, kam tas uzticas, un gaidīto atgriezeniskā izsaukuma adresi. Neatbilstība tur neizdodas vēl pirms paroles ievadīšanas.

Kas identitātes nodrošinātājam jāatgriež

IdP atbild ar parakstītu SAML atbildi, kurā ir apgalvojums: kas ir subjekts, kas to izdeva, kam tas paredzēts un cik ilgi tas ir derīgs. Šie lauki ir līgums. Izdevējam, auditorijai, saņēmējam un derīguma logam jāsakrīt ar to, ko pakalpojums gaida.

Atbilde, ko parakstījis pareizais IdP, bet adresēta citai auditorijai, joprojām ir nederīga. Šo pārbaudi cilvēki izlaiž, kad kopē metadatus no laboratorijas uz produkciju.

Ko VPN pakalpojums validē pirms uzticēšanās jums

Pakalpojums pārbauda parakstu pret uzticamo sertifikātu, pārbauda izdevēju, auditoriju un saņēmēju, pēc tam novērtē laika nosacījumus. Tikai pēc tam tas kartē apgalvojumu uz lietotāju vai grupu un piemēro VPN autorizācijas politiku. Šeit autentifikācija un autorizācija ir atsevišķi soļi, un derīgs apgalvojums bez atbilstošas grupas dod sesiju, kas savienojas un neko nesasniedz.

Apgalvojums ir autentifikācijas materiāls, nevis parole. Ielīmēt to citā klientā vai saglabāt vēlākai atkārtotai savienošanai nav atbalstīta pieteikšanās.

Divi mūži, kas beidzas atsevišķi

Pārlūka sesija pie IdP un VPN sesija pie vārtejas beidzas ar dažādiem pulksteņiem. Izrakstīšanās no IdP ne vienmēr sagrauj jau izveidoto tuneli, un tuneļa atvienošana neizraksta jūs no pārlūka.

AWS Client VPN dokumentē, ka tā federētā plūsma neatbalsta vienreizēju SAML izrakstīšanos, kas ir konkrēts šīs nepilnības piemērs. Pārbaudiet savu pakalpojumu, nevis pieņemiet simetriju.

Tāpēc atkārtota savienošana uzvedas citādi 09:00 un 15:00. Tā var klusi atkārtoti izmantot IdP sesiju, atkal prasīt MFA vai neizdoties, jo beigu punkta sesijas ilgums ir beidzies, bet pārlūka sesijai nav. AWS federācijas plūsma apraksta savas klienta un atbildes prasības, un citi pakalpojumi izmanto citas nodošanas.

Kad pārlūka solis neizdodas, pārbaudiet šos secībā

Strādājiet no pārlūka uz āru, jo kļūdas ziņojums parasti nosauc pēdējo, nevis pirmo lēcienu.

Ja lapa nekad neielādējas, klienta IdP URL vai ceļš uz to ir nepareizs. Ja IdP noraida pieprasījumu, pakalpojuma sniedzēja identifikators vai atgriešanās adrese neatbilst tā konfigurācijai. Ja pārlūks rāda panākumus un klients joprojām neizdodas, atbilde nonāca nepareizajā vietā vai neizturēja auditorijas un laika validāciju. Un ja tunelis paceļas bez piekļuves, apgalvojums tika pieņemts, bet grupas kartēšana ne.

Turiet gaidīto lapu, atgriešanās adresi un grupas kartēšanu vienā dokumentā. Tad lietotājs, kurš ziņo par salauztu VPN pieteikšanos, varēs pateikt, kuru no šīm četrām lietām viņš redzēja, un atbilde jau būs pa pusei uzrakstīta.