Kaj se zgodi v koraku brskalnika pri federirani prijavi v VPN

Kliknete Poveži in namesto polja za geslo odjemalec VPN odpre vaš brskalnik. Ta predaja zmede ljudi, ki pričakujejo, da se bo tunel preveril sam. Brskalnik ni obvoz: tam ponudnik identitete dejansko preveri osebo, odjemalec pa le čaka na rezultat.

Če eno prijavo prehodite od začetka do konca, vidite, kam sodi posamezna napaka, in prav ta del večina runbookov izpusti.

Začnite pri odjemalcu, ne pri konfiguraciji prehoda

Odjemalec sestavi zahtevo in pošlje brskalnik k ponudniku identitete z identifikatorjem ponudnika storitev in povratno lokacijo. IdP vaše organizacije nato izvede, kar je nastavljeno: geslo, MFA, preverjanje naprave, pogojni dostop. Če ima brskalnik že veljavno sejo, lahko viden del traja sekundo ali dve. Ta kratkost je ponovna uporaba seje, ne preskočeno preverjanje.

V konfiguraciji federacije odjemalca najprej preberite dve vrednosti: metapodatke ali URL IdP, ki mu zaupa, in povratni naslov, ki ga pričakuje. Neujemanje tam spodleti, še preden je vpisano kakršno geslo.

Kaj mora ponudnik identitete vrniti

IdP odgovori s podpisanim odgovorom SAML, ki vsebuje assertion: kdo je subjekt, kdo ga je izdal, za koga je namenjen in kako dolgo ostane veljaven. Ta polja so pogodba. Izdajatelj, audience, prejemnik in okno veljavnosti se morajo ujemati s tem, kar storitev pričakuje.

Odgovor, ki ga podpiše pravi IdP, a je naslovljen na drugo audience, je še vedno neveljaven. To je preverjanje, ki ga ljudje izpustijo, ko kopirajo metapodatke med laboratorijem in produkcijo.

Kaj storitev VPN preveri, preden vam zaupa

Storitev preveri podpis glede na zaupanja vredno potrdilo, preveri izdajatelja, audience in prejemnika, nato oceni časovne pogoje. Šele po tem assertion preslika v uporabnika ali skupino in uporabi pravilnik o odobritvi VPN. Preverjanje identitete in odobritev sta tu ločena koraka, veljaven assertion brez ustrezne skupine pa ustvari sejo, ki se poveže in ne doseže ničesar.

Assertion je gradivo za preverjanje identitete, ne geslo. Če ga prilepite v drug odjemalec ali shranite za poznejšo ponovno povezavo, to ni podprta prijava.

Dve življenjski dobi, ki se končata ločeno

Seja brskalnika pri IdP in seja VPN na prehodu potečeta ob različnih urah. Odjava iz IdP ne nujno poruši vzpostavljenega tunela, odklop tunela pa vas ne odjavi iz brskalnika.

AWS Client VPN dokumentira, da njegov federirani tok ne podpira SAML single logout, kar je en konkreten primer te vrzeli. Preverite svojo storitev, namesto da predpostavljate simetrijo.

Zato se ponovna povezava obnaša drugače ob 09:00 in ob 15:00. Lahko tiho ponovno uporabi sejo IdP, znova zahteva MFA ali spodleti, ker je trajanje seje končne točke poteklo, seja brskalnika pa ne. Delovni tok federacije AWS opisuje lastne zahteve glede odjemalca in odgovora, druge storitve pa uporabljajo drugačne predaje.

Ko korak brskalnika spodleti, preverite te po vrsti

Delajte od brskalnika navzven, ker sporočilo o napaki običajno navede zadnji skok, ne prvega.

Če se stran nikoli ne naloži, sta URL IdP odjemalca ali pot do njega napačna. Če IdP zahtevo zavrne, se identifikator ponudnika storitev ali povratni klic ne ujema z njegovo konfiguracijo. Če brskalnik pokaže uspeh, odjemalec pa še vedno spodleti, je odgovor prispel na napačno mesto ali ni prestal preverjanja audience in časa. In če se tunel dvigne brez dostopa, je bil assertion sprejet, preslikava skupin pa ne.

Držite pričakovano stran, povratni klic in preslikavo skupin v enem dokumentu. Potem lahko uporabnik, ki prijavi pokvarjeno prijavo v VPN, pove, katero od teh štirih stvari je videl, in odgovor je že napol napisan.