AWS Client VPN SAML ба Google Workspace: буцах дуудлагын завсар

app_not_configured_for_user хуудас Google Workspace-ээс ирдэг бөгөөд туннелийн нэг ч пакет тохиролцохоос өмнө гарч ирдэг. Энэ дараалал нь бүх онош юм. Клиентийг дахин суулгах, профайлыг засах эсвэл маршрутыг шалгах нь VPN-ийн төгсгөлийн цэг хараахан хараагүй хуудсыг цэвэрлэж чадахгүй. Бүтэлгүйтэж буй алхам нь хөтөч дэх таних тэмдэг үйлчилгээ үзүүлэгч болон хэрэглэгчийн өөрийн машин дээрх сонсогчийн хоорондох шилжүүлэг бөгөөд тэр шилжүүлэгт яг гурван зүйлийг шалгах нь зүйтэй.

Хуудсыг таних тэмдэг үйлчилгээ үзүүлэгчийн мэдэгдэл гэж уншина уу

Google үүнийг нэвтэрсэн бүртгэлд SAML апп идэвхжээгүй үед буцаадаг. Апп унтарсан, хэрэглэгч томилогдсон байгууллагын нэгж эсвэл бүлгийн гадна байгаа, эсвэл үйлчилгээ үзүүлэгчийн тохиргоо хүсэлтэд тавьсан шаардлагатай тохирохгүй байж болно.

Эдгээрийн аль нь ч гэрчилгээ, маршрут эсвэл туннелийн асуудал биш, гэхдээ хэрэглэгч үүнийг VPN клиент дээр анзаарсан.

Клиент хүлээж авах хоёр утга

AWS Client VPN нь үйлчилгээ үзүүлэгчийн эхлүүлсэн SAML солилцоог гүйцэтгэдэг тул клиент хөтөч нээж, хэрэглэгч өөрийгөө баталгаажуулж, үйлчилгээ үзүүлэгч гарын үсэг зурсан мэдэгдлийг Assertion Consumer Service URL руу буцааж илгээдэг. AWS-ийн өгдөг ширээний клиентийн хувьд энэ URL нь loopback дээрх сонсогч, ихэвчлэн 35001 порт бөгөөд хүлээгдэж буй үзэгчид нь Client VPN SAML аппын субъектийн танигч, AWS консолын нэвтрэх субъект биш юм.

Хоёр утга хоёулаа клиентийн хүлээж буйтай тохирох ёстой: мэдэгдлийг хаана илгээх, хэнд хаяглах. Консолын SSO аппаас хуулсан тохиргоо бүрэн үнэмшилтэй харагдаж болох бөгөөд буруу хосыг зорьж болно.

Хоёр утгыг Client VPN SAML-ийн шаардлагаас авна уу, AWS-ийн ерөнхий нэг удаагийн нэвтрэлтийн гарын авлагаас биш. Консолын SSO субъект нь уруу татахуйц төстэй харагдана. Энэ нь өөр үзэгчтэй өөр апп бөгөөд клиент мэдэгдлийг өөрөө тайлбарлахгүйгээр татгалздаг. Хосыг нэг удаа хуулж, профайлын дэргэд хадгална уу.

Google энгийн HTTP буцах дуудлагыг хүлээж авахгүй

Админы консол HTTPS ACS URL шаарддаг бөгөөд клиентийн буцах дуудлага нь loopback дээрх энгийн HTTP юм. Тэр утгыг Workspace аппын тохиргоонд огт оруулж болохгүй, тиймээс зарим баг TLS-ийг дуусгаад орон нутгийн сонсогч руу дамжуулдаг урвуу прокси туршиж үздэг. Энэ нь зөрүүг засдаггүй: хөтөч нэг гарал үүслийг хардаг, клиент нөгөөг зарладаг, буцаж ирсэн хариулт буруу очих газарт хүрч болно.

Ажилладаг шийдэл бол зуучлагч таних тэмдэг үйлчилгээ үзүүлэгч юм. Зуучлагч дээрх SAML апп нь loopback буцах дуудлага болон AWS үзэгчдийг хүлээн авч, зуучлагч Workspace бүртгэлийг дээшээ холбодог. Google-ийн HTTPS дүрэм хангагдсан хэвээр байх бөгөөд клиентэд хүрэх мэдэгдэл нь хүлээж буй хаяг, үзэгчдийг нэрлэсэн хэвээр байна.

Тэр зуучлагч нь хэн нэгэн эзэмших, хянах, ажлаас гаргах үйл явцад оруулах ёстой захиргааны хамаарал юм. Энэ нь мөн тасалдал нэвтрэлтийн алдаа болдог хоёр дахь газар. Дизайныг амлахын өмнө үнийг нь тооцоол. Хэрэв хэн ч эзэмшихгүй бол шударга хариулт нь AWS клиент Workspace-ийг цорын ганц таних тэмдэг үйлчилгээ үзүүлэгчээр ашиглаж чадахгүй гэсэн үг.

Хуваарилалт ба хоёр шатлалт баталгаажуулалт

Ямар нэг зүйлийг дахин зохион бүтээхийн өмнө апп зөв байгууллагын нэгж эсвэл бүлэгт идэвхтэй эсэх, гуравдагч талын SAML аппууд Google талын аппын жагсаалтаас тусдаа өөрийн хуваарилалтын хяналттай эсэхийг баталгаажуулна уу.

Мөн бүртгэлд хоёр шатлалт баталгаажуулалт идэвхтэй эсэхийг шалгана уу. Google үүнийг SAML апп хэрэглэгчид ашиглагдахын өмнө шаардаж болох бөгөөд анхны хэлэлцүүлгийн нэг хариулт яг ингэж шийдэгдсэн. Үүнийг хасах нь хамгийн хямд, хамгийн сүүлд илрүүлэх нь хамгийн төвөгтэй.

Цэвэр сессээр шалгана уу

Аливаа өөрчлөлтийн дараа шинэ хөтчийн профайл, цэвэр клиентийн тохиргоотой туршина уу. Кэшлэсэн мэдэгдэл, дахин ашигласан сесс нь засвар хүрсэн эсэхийг нуудаг.

Дараа нь хоёр бүртгэлийг хажуу хажуугаар харьцуулна уу: таних тэмдэг үйлчилгээ үзүүлэгчийн аудитын үйл явдал ба клиентийн бүртгэл. Туннельгүй амжилттай нэвтрэлт нь буцах дуудлага эсвэл үзэгчид рүү заана. Холбогдсон туннель боловч хүрэх боломжгүй нөөц нь чиглүүлэлт эсвэл зөвшөөрлийн асуудал бөгөөд огт өөр газар хамаарна.

Юуг өөрчлөхгүй байх

Хуудсыг тойрохын тулд профайлаас auth-federate-г хасч болохгүй, гэрчилгээний шалгалтыг унтрааж болохгүй. Хоёулаа бүтэлгүйтэж буй буцах дуудлагыг биш, баталгаажуулалтын дизайныг өөрчилдөг бөгөөд хоёулаа ихэвчлэн дараагийн клиентийн шинэчлэлтэд эвдэрдэг.

Оронд нь шилжүүлгийг засаж, зуучлагч, үзэгчид болон loopback портыг нэрлэсэн тэмдэглэл үлдээнэ үү. Хуудсыг дараа харах хүнд гурвуулаа хэрэгтэй болно.