Apa Yang Berlaku pada Langkah Pelayar dalam Log Masuk VPN Bergabung

Anda menekan Sambung, dan bukannya kotak kata laluan, klien VPN membuka pelayar anda. Penyerahan ini mengelirukan mereka yang menyangka terowong akan mengesahkan dirinya sendiri. Pelayar bukan jalan pintas: di situlah penyedia identiti benar-benar mengesahkan orangnya, dan klien hanya menunggu hasilnya.

Menjejaki satu log masuk dari awal hingga akhir menunjukkan langkah mana setiap kegagalan tergolong, dan itulah bahagian yang dilepaskan oleh kebanyakan runbook.

Bermula dengan klien, bukan konfigurasi gerbang

Klien membina permintaan dan menghantar pelayar kepada penyedia identiti dengan pengecam penyedia perkhidmatan dan lokasi pemulangan. IdP organisasi anda kemudian menjalankan apa yang dikonfigurasikan: kata laluan, MFA, pemeriksaan peranti, akses bersyarat. Jika pelayar sudah mempunyai sesi yang sah, bahagian yang kelihatan boleh mengambil masa satu atau dua saat. Kependekan itu ialah penggunaan semula sesi, bukan pemeriksaan yang dilangkau.

Baca dua nilai dalam konfigurasi persekutuan klien sebelum apa-apa lagi: metadata atau URL IdP yang dipercayainya, dan alamat panggil balik yang dijangka. Ketidakpadanan di situ gagal sebelum sebarang kata laluan ditaip.

Apa yang mesti dipulangkan oleh penyedia identiti

IdP menjawab dengan respons SAML yang ditandatangani mengandungi penegasan: siapa subjeknya, siapa yang mengeluarkannya, untuk siapa dan berapa lama ia sah. Medan itu ialah kontraknya. Pengeluar, audiens, penerima dan tetingkap kesahihan semuanya mesti sepadan dengan apa yang dijangka oleh perkhidmatan.

Respons yang ditandatangani oleh IdP yang betul tetapi dialamatkan kepada audiens lain masih tidak sah. Itulah pemeriksaan yang dilepaskan orang apabila menyalin metadata dari makmal ke pengeluaran.

Apa yang disahkan oleh perkhidmatan VPN sebelum mempercayai anda

Perkhidmatan mengesahkan tandatangan terhadap sijil yang dipercayai, menyemak pengeluar, audiens dan penerima, kemudian menilai syarat masa. Selepas itu barulah ia memetakan penegasan kepada pengguna atau kumpulan dan menggunakan dasar kebenaran VPN. Pengesahan dan kebenaran ialah langkah berasingan di sini, dan penegasan sah tanpa kumpulan yang sepadan menghasilkan sesi yang bersambung dan tidak mencapai apa-apa.

Penegasan itu bahan pengesahan, bukan kata laluan. Menampalnya ke klien lain, atau menyimpannya untuk sambungan semula kemudian, bukan log masuk yang disokong.

Dua jangka hayat yang tamat secara berasingan

Sesi pelayar di IdP dan sesi VPN di gerbang luput pada jam yang berbeza. Log keluar dari IdP tidak semestinya meruntuhkan terowong yang sudah terbentuk, dan memutuskan terowong tidak melog keluar anda dari pelayar.

AWS Client VPN mendokumenkan bahawa aliran bergabungnya tidak menyokong log keluar tunggal SAML, yang merupakan contoh konkrit jurang ini. Periksa perkhidmatan anda sendiri daripada menganggap simetri.

Itulah sebabnya sambungan semula berkelakuan berbeza pada 09:00 dan 15:00. Ia mungkin menggunakan semula sesi IdP secara senyap, meminta MFA sekali lagi, atau gagal kerana tempoh sesi titik akhir sudah tamat manakala sesi pelayar belum. Aliran persekutuan AWS menerangkan keperluan klien dan responsnya sendiri, dan perkhidmatan lain menggunakan penyerahan yang berbeza.

Apabila langkah pelayar gagal, periksa ini mengikut urutan

Bekerja dari pelayar ke luar, kerana mesej ralat biasanya menamakan lompatan terakhir dan bukan yang pertama.

Jika halaman tidak pernah dimuatkan, URL IdP klien atau laluan ke sana salah. Jika IdP menolak permintaan, pengecam penyedia perkhidmatan atau panggil balik tidak sepadan dengan konfigurasinya. Jika pelayar menunjukkan kejayaan dan klien masih gagal, respons sampai ke tempat yang salah atau gagal pengesahan audiens dan masa. Dan jika terowong naik tanpa akses, penegasan diterima tetapi pemetaan kumpulan tidak.

Simpan halaman yang dijangka, panggil balik dan pemetaan kumpulan dalam satu dokumen. Dengan itu pengguna yang melaporkan log masuk VPN rosak boleh menyebut yang mana antara empat perkara itu dilihatnya, dan jawapannya sudah separuh tertulis.