Што се случува во чекорот на прелистувачот при федеративно најавување на VPN

Кликнувате Поврзи, а наместо поле за лозинка VPN клиентот ви го отвора прелистувачот. Ова предавање ги збунува оние што очекуваат тунелот сам да се автентицира. Прелистувачот не е заобиколен пат: таму давателот на идентитет навистина ја автентицира личноста, а клиентот само го чека резултатот.

Следењето на едно најавување од почеток до крај покажува на кој чекор припаѓа секој дефект, а токму тој дел повеќето runbook-ови го прескокнуваат.

Започнете од клиентот, не од конфигурацијата на портата

Клиентот гради барање и го праќа прелистувачот кај давателот на идентитет со идентификатор на давателот на услуги и адреса за враќање. Потоа IdP-то на вашата организација го извршува она што е конфигурирано: лозинка, MFA, проверка на уред, условен пристап. Ако прелистувачот веќе има важечка сесија, видливиот дел може да трае една или две секунди. Таа краткост е повторна употреба на сесија, а не прескокната проверка.

Пред сѐ друго прочитајте во федерациската конфигурација на клиентот две вредности: IdP метаподатоците или URL-то на кое му верува, и адресата за повратен повик што ја очекува. Несовпаѓањето таму не успева пред да се внесе било каква лозинка.

Што мора да врати давателот на идентитет

IdP-то одговара со потпишан SAML одговор што содржи тврдење: кој е субјектот, кој го издал, за кого е и колку долго важи. Тие полиња се договорот. Издавач, публика, примач и период на важност мора да се совпаднат со она што го очекува услугата.

Одговор потпишан од вистинскиот IdP, но упатен до друга публика, сѐ уште е неважечки. Оваа проверка ја прескокнуваат кога метаподатоци се копираат од лабораторија во продукција.

Што валидира VPN услугата пред да ви верува

Услугата го проверува потписот со доверливиот сертификат, ги проверува издавачот, публиката и примачот, потоа ги оценува временските услови. Само потоа тврдењето го мапира на корисник или група и ја применува VPN политиката за авторизација. Автентикацијата и авторизацијата овде се одделни чекори, а важечко тврдење без соодветна група дава сесија што се поврзува и не стигнува до ништо.

Тврдењето е автентикациски материјал, не лозинка. Неговото вметнување во друг клиент или чување за подоцнежно поврзување не е поддржано најавување.

Два века што завршуваат одделно

Сесијата на прелистувачот кај IdP-то и VPN сесијата на портата истекуваат на различни часовници. Одјавувањето од IdP-то не мора да го разурне воспоставениот тунел, а прекинувањето на тунелот не ве одјавува од прелистувачот.

AWS Client VPN документира дека неговиот федеративен тек не поддржува SAML единечно одјавување, што е конкретен пример за овој јаз. Проверете ја сопствената услуга наместо да претпоставувате симетрија.

Затоа повторното поврзување се однесува поинаку во 09:00 и во 15:00. Може тивко да ја искористи IdP сесијата повторно, да побара MFA повторно или да не успее зашто рокот на сесијата на крајната точка истекол, а на прелистувачот не. AWS федеративниот тек ги опишува своите барања за клиент и одговор, а други услуги користат други предавања.

Кога чекорот на прелистувачот не успее, проверете ги овие по ред

Работете од прелистувачот кон надвор, зашто пораката за грешка обично го именува последниот, а не првиот скок.

Ако страницата никогаш не се вчита, URL-то на IdP-то во клиентот или патеката до него е погрешна. Ако IdP-то го одбие барањето, идентификаторот на давателот на услуги или повратниот повик не се совпаѓаат со неговата конфигурација. Ако прелистувачот покаже успех, а клиентот сѐ уште не успее, одговорот стигнал на погрешно место или не ја поминал проверката за публика и време. А ако тунелот се крене без пристап, тврдењето е прифатено, но мапирањето на групата не.

Чувајте ја очекуваната страница, повратниот повик и мапирањето на групата во еден документ. Тогаш корисникот што пријавува расипано VPN најавување може да каже што од тие четири работи видел, и одговорот е веќе половина напишан.