Шта се дешава у кораку прегледача при федерисаном пријављивању на VPN

Кликнете Повежи и уместо поља за лозинку VPN клијент отвара ваш прегледач. То предавање збуњује људе који очекују да се тунел сам аутентификује. Прегледач није заобилазни пут: тамо добављач идентитета стварно аутентификује особу, а клијент само чека резултат.

Пролазак кроз једну пријаву од почетка до краја показује ком кораку припада свака грешка, а управо тај део већина runbook-ова прескаче.

Почните од клијента, не од конфигурације приступника

Клијент саставља захтев и шаље прегледач добављачу идентитета са идентификатором добављача услуга и адресом повратка. IdP ваше организације затим извршава оно за шта је конфигурисан: лозинку, MFA, проверу уређаја, условни приступ. Ако прегледач већ има важећу сесију, видљиви део може трајати секунду или две. Та краткоћа је поновно коришћење сесије, а не прескочена провера.

Пре свега прочитајте у конфигурацији федерације клијента две вредности: IdP метаподатке или URL коме верује и адресу повратног позива коју очекује. Неусклађеност тамо пада пре него што се упише икаква лозинка.

Шта добављач идентитета мора да врати

IdP одговара потписаним SAML одговором који садржи assertion: ко је субјекат, ко га је издао, за кога је намењен и колико дуго остаје важећи. Та поља су уговор. Издавалац, audience, прималац и прозор важења морају сви да се подударају са оним што услуга очекује.

Одговор који потпише исправан IdP, али је упућен другој audience, и даље је неважећи. То је провера коју људи прескачу када копирају метаподатке између лабораторије и продукције.

Шта VPN услуга проверава пре него што вам поверује

Услуга проверава потпис према поузданом сертификату, проверава издаваоца, audience и примаоца, а затим оцењује временске услове. Тек након тога пресликава assertion на корисника или групу и примењује VPN правило ауторизације. Овде су аутентификација и ауторизација одвојени кораци, а важећи assertion без одговарајуће групе даје сесију која се повезује и до ничега не долази.

Assertion је аутентификациони материјал, не лозинка. Лепити га у други клијент или чувати за касније поновно повезивање није подржана пријава.

Два животна века која се завршавају одвојено

Сесија прегледача на IdP-у и VPN сесија на приступнику истичу по различитим сатовима. Одјава са IdP-а не мора нужно да сруши успостављени тунел, а прекид тунела вас не одјављује из прегледача.

AWS Client VPN документује да његов федерисани ток не подржава SAML single logout, што је један конкретан пример тог јаза. Проверите сопствену услугу уместо да претпостављате симетрију.

Зато се поновно повезивање понаша другачије у 09:00 и у 15:00. Може тихо поново да искористи IdP сесију, поново затражи MFA или падне јер је трајање сесије endpoint-а истекло, а сесија прегледача није. AWS ток федерације описује сопствене захтеве за клијента и одговор, а друге услуге користе другачија предавања.

Када корак прегледача падне, проверите ово редом

Радите од прегледача ка споља, јер порука о грешци обично именује последњи скок, а не први.

Ако се страница никада не учита, IdP URL клијента или путања до њега није тачна. Ако IdP одбије захтев, идентификатор добављача услуга или повратни позив не одговара његовој конфигурацији. Ако прегледач покаже успех, а клијент ипак падне, одговор је стигао на погрешно место или није прошао проверу audience и времена. А ако се тунел подигне без приступа, assertion је прихваћен, али пресликавање група није.

Држите очекивану страницу, повратни позив и пресликавање група у једном документу. Тада корисник који пријави покварену VPN пријаву може да каже коју је од те четири ствари видео, а одговор је већ напола написан.