Çfarë ndodh në hapin e shfletuesit të një hyrjeje VPN të federuar

Klikoni Lidhu dhe, në vend të një kutie fjalëkalimi, klienti VPN hap shfletuesin tuaj. Ky transferim i huton ata që presin që tuneli të autentikohet vetë. Shfletuesi nuk është një devijim: atje ofruesi i identitetit e autentikon vërtet personin, dhe klienti thjesht pret rezultatin.

Kalimi i një hyrjeje nga fillimi në fund tregon ku hyn çdo dështim, dhe pikërisht kjo pjesë mungon në shumicën e runbook-ëve.

Filloni nga klienti, jo nga konfigurimi i portës

Klienti ndërton një kërkesë dhe e dërgon shfletuesin te ofruesi i identitetit me një identifikues ofruesi shërbimi dhe një vend kthimi. Pastaj IdP i organizatës tuaj ekzekuton atë që është konfiguruar: fjalëkalim, MFA, kontroll pajisjeje, akses i kushtëzuar. Nëse shfletuesi ka tashmë një sesion të vlefshëm, pjesa e dukshme mund të zgjasë një sekondë ose dy. Kjo shkurtësi është ripërdorim sesioni, jo një kontroll i anashkaluar.

Lexoni në konfigurimin e federimit të klientit dy vlera para çdo gjëje tjetër: metadata ose URL-në e IdP-së që beson, dhe adresën e kthimit që pret. Një mospërputhje atje dështon përpara se të shkruhet ndonjë fjalëkalim.

Çfarë duhet të kthejë ofruesi i identitetit

IdP përgjigjet me një përgjigje SAML të nënshkruar që përmban një assertion: kush është subjekti, kush e lëshoi, për kë është dhe sa kohë mbetet e vlefshme. Këto fusha janë kontrata. Lëshuesi, audience, marrësi dhe dritarja e vlefshmërisë duhet të përputhen të gjitha me atë që pret shërbimi.

Një përgjigje e nënshkruar nga IdP i duhur, por e drejtuar te një audience tjetër, është ende e pavlefshme. Ky është kontrolli që njerëzit e anashkalojnë kur kopjojnë metadata midis një laboratori dhe prodhimit.

Çfarë validon shërbimi VPN para se t'ju besojë

Shërbimi verifikon nënshkrimin kundrejt certifikatës së besuar, kontrollon lëshuesin, audience dhe marrësin, pastaj vlerëson kushtet e kohës. Vetëm pas kësaj e harton assertion-in te një përdorues ose grup dhe zbaton politikën e autorizimit të VPN. Këtu autentikimi dhe autorizimi janë hapa të veçantë, dhe një assertion i vlefshëm pa grup përputhës krijon një sesion që lidhet dhe nuk arrin asgjë.

Assertion është material autentikimi, jo fjalëkalim. Ngjitja e tij në një klient tjetër, ose ruajtja për një rilidhje të mëvonshme, nuk është një hyrje e mbështetur.

Dy jetëgjatësi që mbarojnë veçmas

Sesioni i shfletuesit në IdP dhe sesioni VPN në portë skadojnë në ora të ndryshme. Dalja nga IdP nuk e prish domosdoshmërisht një tunel të vendosur, dhe shkëputja e tunelit nuk ju çkyç nga shfletuesi.

AWS Client VPN dokumenton se rrjedha e tij e federuar nuk mbështet SAML single logout, që është një shembull konkret i këtij hendeku. Kontrolloni shërbimin tuaj në vend që të supozoni simetri.

Kjo është arsyeja pse një rilidhje sillet ndryshe në 09:00 dhe në 15:00. Mund të ripërdorë sesionin e IdP në heshtje, të kërkojë përsëri MFA, ose të dështojë sepse kohëzgjatja e sesionit të endpoint-it skadoi ndërsa sesioni i shfletuesit jo. Rrjedha e federimit të AWS përshkruan kërkesat e veta për klientin dhe përgjigjen, dhe shërbimet e tjera përdorin transferime të ndryshme.

Kur hapi i shfletuesit dështon, kontrolloni këto sipas radhës

Punoni nga shfletuesi nga jashtë, sepse mesazhi i gabimit zakonisht emërton hop-in e fundit, jo të parin.

Nëse faqja nuk ngarkohet kurrë, URL-ja e IdP-së së klientit ose rruga drejt saj është e gabuar. Nëse IdP e refuzon kërkesën, identifikuesi i ofruesit të shërbimit ose callback-u nuk përputhet me konfigurimin e tij. Nëse shfletuesi tregon sukses dhe klienti vazhdon të dështojë, përgjigja arriti në vendin e gabuar ose dështoi validimin e audience dhe të kohës. Dhe nëse tuneli ngrihet pa akses, assertion-i u pranua, por hartëzimi i grupeve jo.

Mbani faqen e pritur, callback-un dhe hartëzimin e grupeve në një dokument të vetëm. Atëherë një përdorues që raporton një hyrje VPN të prishur mund të thotë cilën nga këto katër gjëra pa, dhe përgjigjja është tashmë gjysmë e shkruar.