Što se događa u koraku preglednika kod federirane VPN prijave

Kliknete Poveži i umjesto polja za lozinku VPN klijent otvara vaš preglednik. To predavanje zbunjuje ljude koji očekuju da se tunel sam autentificira. Preglednik nije zaobilazni put: ondje davatelj identiteta stvarno autentificira osobu, a klijent samo čeka rezultat.

Prolazak kroz jednu prijavu od početka do kraja pokazuje kojem koraku pripada svaka pogreška, a upravo taj dio većina runbooka preskače.

Počnite od klijenta, ne od konfiguracije pristupnika

Klijent sastavlja zahtjev i šalje preglednik davatelju identiteta s identifikatorom davatelja usluga i adresom povratka. IdP vaše organizacije zatim izvodi ono za što je konfiguriran: lozinku, MFA, provjeru uređaja, uvjetni pristup. Ako preglednik već ima valjanu sesiju, vidljivi dio može trajati sekundu ili dvije. Ta kratkoća je ponovno korištenje sesije, a ne preskočena provjera.

Prije svega pročitajte u klijentovoj konfiguraciji federacije dvije vrijednosti: IdP metapodatke ili URL kojemu vjeruje i adresu povratnog poziva koju očekuje. Neusklađenost ondje pada prije nego što se upiše ikakva lozinka.

Što davatelj identiteta mora vratiti

IdP odgovara potpisanim SAML odgovorom koji sadrži assertion: tko je subjekt, tko ga je izdao, za koga je namijenjen i koliko dugo ostaje valjan. Ta polja su ugovor. Izdavatelj, audience, primatelj i prozor valjanosti moraju se svi podudarati s onim što usluga očekuje.

Odgovor koji potpiše ispravan IdP, ali je upućen drugoj audience, i dalje je nevaljan. To je provjera koju ljudi preskaču kad kopiraju metapodatke između laboratorija i produkcije.

Što VPN usluga provjerava prije nego što vam povjeruje

Usluga provjerava potpis prema pouzdanom certifikatu, provjerava izdavatelja, audience i primatelja, a zatim ocjenjuje vremenske uvjete. Tek nakon toga preslikava assertion na korisnika ili grupu i primjenjuje VPN pravilo autorizacije. Ovdje su autentifikacija i autorizacija odvojeni koraci, a valjan assertion bez odgovarajuće grupe daje sesiju koja se povezuje i do ničega ne dolazi.

Assertion je autentifikacijski materijal, ne lozinka. Lijepljenje u drugi klijent ili čuvanje za kasnije ponovno povezivanje nije podržana prijava.

Dva životna vijeka koji završavaju odvojeno

Sesija preglednika na IdP-u i VPN sesija na pristupniku istječu po različitim satovima. Odjava s IdP-a ne mora nužno srušiti uspostavljeni tunel, a prekid tunela ne odjavljuje vas iz preglednika.

AWS Client VPN dokumentira da njegov federirani tok ne podržava SAML single logout, što je jedan konkretan primjer tog jaza. Provjerite vlastitu uslugu umjesto da pretpostavljate simetriju.

Zato se ponovno povezivanje ponaša drukčije u 09:00 i u 15:00. Može tiho ponovno upotrijebiti IdP sesiju, ponovno zatražiti MFA ili pasti jer je trajanje sesije endpointa isteklo, a sesija preglednika nije. AWS tijek federacije opisuje vlastite zahtjeve za klijent i odgovor, a druge usluge koriste drukčija predavanja.

Kad korak preglednika padne, provjerite ovo redom

Radite od preglednika prema van, jer poruka o pogrešci obično imenuje zadnji skok, a ne prvi.

Ako se stranica nikad ne učita, IdP URL klijenta ili put do njega nije točan. Ako IdP odbije zahtjev, identifikator davatelja usluga ili povratni poziv ne odgovara njegovoj konfiguraciji. Ako preglednik pokaže uspjeh, a klijent ipak padne, odgovor je stigao na pogrešno mjesto ili nije prošao provjeru audience i vremena. A ako se tunel digne bez pristupa, assertion je prihvaćen, ali preslikavanje grupa nije.

Držite očekivanu stranicu, povratni poziv i preslikavanje grupa u jednom dokumentu. Tada korisnik koji prijavi pokvarenu VPN prijavu može reći koju je od te četiri stvari vidio, a odgovor je već napola napisan.