Ano ang nangyayari sa hakbang ng browser ng isang federated na pag-login sa VPN

Pinindot mo ang Kumonekta, at sa halip na kahon ng password ay binubuksan ng VPN client ang iyong browser. Nakakalito ang paghahatid na iyon sa mga inaasahang mag-authenticate ang tunnel nang mag-isa. Hindi liko ang browser: doon talaga ini-authenticate ng identity provider ang tao, at naghihintay lamang ang client sa resulta.

Ang pagdaan sa isang pag-sign in mula simula hanggang dulo ay nagpapakita kung saan nabibilang ang bawat pagkabigo, at iyon ang bahaging nilalaktawan ng karamihan sa mga runbook.

Magsimula sa client, hindi sa config ng gateway

Bumubuo ang client ng kahilingan at ipinapadala ang browser sa identity provider na may identifier ng service provider at lokasyon ng pagbabalik. Pagkatapos ay pinapatakbo ng IdP ng iyong organisasyon ang naka-configure dito: password, MFA, pagsusuri ng device, conditional access. Kung may wastong sesyon na ang browser, maaaring tumagal ng isa o dalawang segundo ang nakikitang bahagi. Ang kaiklian na iyon ay muling paggamit ng sesyon, hindi nilaktawang pagsusuri.

Basahin sa federasyon config ng client ang dalawang halaga bago ang anumang iba pa: ang IdP metadata o URL na pinagkakatiwalaan nito, at ang callback address na inaasahan nito. Ang hindi pagtutugma doon ay nabibigo bago pa may maipasok na password.

Ano ang dapat ibalik ng identity provider

Sumasagot ang IdP ng pinirmahang SAML response na naglalaman ng assertion: sino ang subject, sino ang naglabas, para kanino ito, at gaano katagal itong wasto. Ang mga field na iyon ang kontrata. Kailangang tumugma ng issuer, audience, recipient at validity window sa inaasahan ng serbisyo.

Ang response na pinirmahan ng tamang IdP pero nakapunta sa ibang audience ay hindi pa rin wasto. Iyon ang pagsusuring nilalaktawan ng mga tao kapag kinokopya ang metadata sa pagitan ng lab at production.

Ano ang bine-verify ng VPN service bago ka pagkatiwalaan

Bine-verify ng serbisyo ang pirma laban sa pinagkakatiwalaang certificate, sinusuri ang issuer, audience at recipient, pagkatapos ay tinatasa ang mga kondisyon ng oras. Pagkatapos lamang niyon ay iminamapa nito ang assertion sa isang user o grupo at inilalapat ang patakaran sa awtorisasyon ng VPN. Hiwalay na hakbang dito ang authentication at awtorisasyon, at ang wastong assertion na walang katugmang grupo ay gumagawa ng sesyong kumokonekta at walang naaabot.

Ang assertion ay materyal ng authentication, hindi password. Ang pag-paste nito sa ibang client, o pag-iimbak para sa muling pagkonekta mamaya, ay hindi suportadong pag-login.

Dalawang haba ng buhay na nagtatapos nang hiwalay

Ang sesyon ng browser sa IdP at ang sesyon ng VPN sa gateway ay nag-eexpire sa magkaibang orasan. Ang pag-sign out sa IdP ay hindi laging nagsisira ng naitatag na tunnel, at ang pagdiskonekta ng tunnel ay hindi ka nag-sign out sa browser.

Dokumentado ng AWS Client VPN na hindi sinusuportahan ng federated flow nito ang SAML single logout, na isang konkretong halimbawa ng puwang na iyon. Suriin ang sarili mong serbisyo sa halip na ipalagay ang simetriya.

Kaya naiiba ang kilos ng muling pagkonekta sa 09:00 at sa 15:00. Maaari nitong tahimik na muling gamitin ang sesyon ng IdP, humingi muli ng MFA, o mabigo dahil nag-expire ang tagal ng sesyon ng endpoint habang ang sesyon ng browser ay hindi. Ang workflow ng federasyon ng AWS ay naglalarawan ng sarili nitong mga pangangailangan sa client at response, at iba ang paghahatid ng ibang serbisyo.

Kapag nabigo ang hakbang ng browser, suriin ang mga ito sa pagkakasunod-sunod

Magtrabaho mula sa browser pakanlabas, dahil karaniwang pinapangalanan ng mensahe ng error ang huling hop sa halip na ang una.

Kung hindi kailanman naglo-load ang pahina, mali ang IdP URL ng client o ang landas papunta roon. Kung tinatanggihan ng IdP ang kahilingan, hindi tumutugma ang identifier ng service provider o ang callback sa config nito. Kung nagpapakita ng tagumpay ang browser at nabibigo pa rin ang client, napunta sa maling lugar ang response o nabigo ang pagpapatunay ng audience at oras. At kung bumangon ang tunnel na walang access, tinanggap ang assertion pero hindi ang pagmamapa ng grupo.

Panatilihin sa isang dokumento ang inaasahang pahina, ang callback at ang pagmamapa ng grupo. Kung gayon, masasabi ng user na nag-uulat ng sirang pag-login sa VPN kung alin sa apat na iyon ang nakita niya, at kalahati nang nakasulat ang sagot.