फेडरेटेड VPN लॉगिनच्या ब्राउझर टप्प्यात काय घडते

तुम्ही Connect दाबता, आणि पासवर्ड बॉक्सऐवजी VPN क्लायंट तुमचा ब्राउझर उघडतो. हे हस्तांतरण टनेल स्वतः प्रमाणित होईल अशी अपेक्षा असणाऱ्यांना गोंधळात टाकते. ब्राउझर हा बगलमार्ग नाही: तिथेच ओळख पुरवठादार व्यक्तीचे प्रत्यक्षात प्रमाणीकरण करतो, आणि क्लायंट फक्त निकालाची वाट पाहतो.

एक साइन-इन सुरुवातीपासून शेवटपर्यंत अनुसरल्यास प्रत्येक अयशस्वी कोणत्या टप्प्याचे आहे ते दिसते, आणि बहुतेक रनबुक्स हाच भाग वगळतात.

गेटवे कॉन्फिगपासून नाही, क्लायंटपासून सुरुवात करा

क्लायंट विनंती तयार करतो आणि सेवा-पुरवठादार ओळखकर्ता व परतीचे स्थान यासह ब्राउझर ओळख पुरवठादाराकडे पाठवतो. नंतर तुमच्या संस्थेचा IdP कॉन्फिगर केलेले चालवतो: पासवर्ड, MFA, उपकरण तपासणी, सशर्त प्रवेश. ब्राउझरकडे आधीच वैध सत्र असल्यास, दिसणारा भाग एक-दोन सेकंद टिकू शकतो. ही संक्षिप्तता सत्र पुनर्वापर आहे, वगळलेली तपासणी नाही.

सर्वांपूर्वी क्लायंटच्या फेडरेशन कॉन्फिगमध्ये दोन मूल्ये वाचा: तो ज्यावर विश्वास ठेवतो ते IdP मेटाडेटा किंवा URL, आणि त्याला अपेक्षित असलेला कॉलबॅक पत्ता. तिथे विसंगती असल्यास कोणताही पासवर्ड टाइप होण्यापूर्वीच अपयश येते.

ओळख पुरवठादाराने काय परत द्यावे

IdP स्वाक्षरीकृत SAML प्रतिसादाने उत्तर देतो, त्यात दावा असतो: विषय कोण आहे, कोणी जारी केला, कोणासाठी आहे आणि किती काळ वैध आहे. ही क्षेत्रेच करार आहेत. जारीकर्ता, प्रेक्षक, प्राप्तकर्ता आणि वैधता कालावधी—सर्व सेवा जे अपेक्षिते त्याशी जुळले पाहिजेत.

योग्य IdP ने स्वाक्षरी केलेला पण दुसऱ्या प्रेक्षकांना संबोधलेला प्रतिसाद तरीही अवैध आहे. प्रयोगशाळेतून उत्पादनात मेटाडेटा कॉपी करताना लोक हीच तपासणी वगळतात.

VPN सेवा तुमच्यावर विश्वास ठेवण्यापूर्वी काय सत्यापित करते

सेवा विश्वासार्ह प्रमाणपत्रासमोर स्वाक्षरी सत्यापित करते, जारीकर्ता, प्रेक्षक आणि प्राप्तकर्ता तपासते, नंतर वेळेच्या अटींचे मूल्यांकन करते. त्यानंतरच ते दाव्याचे उपयोगकर्ता किंवा गटाशी मॅपिंग करते आणि VPN प्राधिकरण धोरण लागू करते. येथे प्रमाणीकरण आणि प्राधिकरण वेगळे टप्पे आहेत, आणि जुळणारा गट नसलेला वैध दावा जोडला जातो पण कुठेही पोहोचत नाही असे सत्र देतो.

दावा ही प्रमाणीकरण सामग्री आहे, पासवर्ड नाही. तो दुसऱ्या क्लायंटमध्ये पेस्ट करणे, किंवा नंतरच्या पुनर्जोडणीसाठी ठेवणे समर्थित लॉगिन नाही.

स्वतंत्रपणे संपणारी दोन आयुष्ये

IdP वरील ब्राउझर सत्र आणि गेटवेवरील VPN सत्र वेगळ्या घड्याळांनी संपतात. IdP मधून साइन आउट केल्याने प्रस्थापित टनेल जरूरी नाही तुटेल, आणि टनेल डिस्कनेक्ट केल्याने तुम्ही ब्राउझरमधून साइन आउट होत नाही.

AWS Client VPN नोंदवते की त्याचा फेडरेटेड प्रवाह SAML एकल लॉगआउटला समर्थन देत नाही, जे या तफावतीचे ठोस उदाहरण आहे. सममिती गृहीत धरण्याऐवजी तुमची सेवा तपासा.

म्हणूनच पुनर्जोडणी 09:00 आणि 15:00 वाजता वेगळी वागते. ते IdP सत्र शांतपणे पुनर्वापर करू शकते, पुन्हा MFA मागू शकते, किंवा एंडपॉइंट सत्राचा कालावधी संपल्यामुळे अपयशी होऊ शकते. AWS फेडरेशन कार्यप्रवाह त्याच्या क्लायंट आणि प्रतिसाद आवश्यकता वर्णन करतो, आणि इतर सेवा वेगळी हस्तांतरणे वापरतात.

ब्राउझर टप्पा अपयशी झाल्यास हे क्रमाने तपासा

ब्राउझरपासून बाहेर काम करा, कारण त्रुटी संदेश सहसा पहिली नाही तर शेवटची उडी नावाने सांगतो.

पान कधीच लोड होत नसल्यास, क्लायंटचा IdP URL किंवा तिथवरचा मार्ग चुकीचा आहे. IdP विनंती नाकारल्यास, सेवा-पुरवठादार ओळखकर्ता किंवा कॉलबॅक त्याच्या कॉन्फिगशी जुळत नाही. ब्राउझर यश दाखवले तरी क्लायंट अपयशी झाल्यास, प्रतिसाद चुकीच्या ठिकाणी पोहोचला किंवा प्रेक्षक व वेळ सत्यापनात अपयशी झाला. आणि टनेल प्रवेशाशिवाय वर आल्यास, दावा स्वीकारला गेला पण गट मॅपिंग झाले नाही.

अपेक्षित पान, कॉलबॅक आणि गट मॅपिंग एका दस्तऐवजात ठेवा. मग तुटलेल्या VPN लॉगिनची तक्रार करणारा वापरकर्ता यापैकी कोणते चार पाहिले ते सांगू शकतो, आणि उत्तर अर्धे लिहिलेले असते.