Federasyonlu bir VPN oturum açma işleminde tarayıcı adımında ne olur

Bağlan düğmesine basarsınız ve VPN istemcisi parola kutusu yerine tarayıcınızı açar. Bu devir, tünelin kendini kimlik doğrulayacağını bekleyen insanları şaşırtır. Tarayıcı bir dolambaç değildir: kimlik sağlayıcının kişiyi gerçekten doğruladığı yer orasıdır ve istemci yalnızca sonucu bekler.

Bir oturum açmayı baştan sona izlemek her hatanın nereye ait olduğunu gösterir ve çoğu runbook'un atladığı kısım tam olarak budur.

Ağ geçidi yapılandırmasından değil, istemciden başlayın

İstemci bir istek oluşturur ve tarayıcıyı kimlik sağlayıcıya gönderir bir hizmet sağlayıcı tanımlayıcısı ve dönüş konumuyla. Ardından kuruluşunuzun IdP'si ne için yapılandırıldıysa onu çalıştırır: parola, MFA, cihaz kontrolü, koşullu erişim. Tarayıcıda zaten geçerli bir oturum varsa görünen kısım bir ya da iki saniye sürebilir. Bu kısalık oturumun yeniden kullanımıdır, atlanmış bir kontrol değil.

Her şeyden önce istemcinin federasyon yapılandırmasında iki değer okuyun: güvendiği IdP üst verisi veya URL'si ve beklediği callback adresi. Oradaki bir uyumsuzluk herhangi bir parola yazılmadan başarısız olur.

Kimlik sağlayıcı neyi döndürmek zorunda

IdP, içinde bir assertion bulunan imzalı bir SAML yanıtıyla yanıt verir: öznenin kim olduğu, kimin verdiği, kimin için olduğu ve ne kadar süre geçerli kaldığı. Bu alanlar sözleşmedir. Veren, audience, alıcı ve geçerlilik penceresi hizmetin beklediğiyle eşleşmelidir.

Doğru IdP tarafından imzalanmış ama başka bir audience'a yöneltilmiş bir yanıt yine de geçersizdir. İnsanların üst veriyi laboratuvar ile üretim arasında kopyalarken atladığı kontrol budur.

VPN hizmeti size güvenmeden önce neyi doğrular

Hizmet imzayı güvenilen sertifikaya göre doğrular, vereni, audience'ı ve alıcıyı kontrol eder, ardından zaman koşullarını değerlendirir. Ancak bundan sonra assertion'ı bir kullanıcıya veya gruba eşler ve VPN yetkilendirme ilkesini uygular. Burada kimlik doğrulama ve yetkilendirme ayrı adımlardır ve eşleşen grubu olmayan geçerli bir assertion bağlanan ama hiçbir yere ulaşmayan bir oturum üretir.

Assertion bir kimlik doğrulama malzemesidir, parola değildir. Onu başka bir istemciye yapıştırmak veya sonraki bir yeniden bağlanma için saklamak desteklenen bir oturum açma değildir.

Ayrı ayrı biten iki ömür

IdP'deki tarayıcı oturumu ile ağ geçidindeki VPN oturumu farklı saatlerde sona erer. IdP'den çıkış yapmak kurulmuş bir tüneli zorunlu olarak yıkmaz ve tüneli kesmek sizi tarayıcıdan çıkış yapmış saymaz.

AWS Client VPN, federasyonlu akışının SAML single logout desteği olmadığını belgeler; bu, boşluğun somut bir örneğidir. Simetri varsaymak yerine kendi hizmetinizi kontrol edin.

Bu yüzden yeniden bağlanma saat 09:00'da ve saat 15:00'te farklı davranır. IdP oturumunu sessizce yeniden kullanabilir, yeniden MFA isteyebilir veya tarayıcı oturumu dolmadığı halde endpoint oturum süresi dolduğu için başarısız olabilir. AWS federasyon iş akışı kendi istemci ve yanıt gereksinimlerini açıklar ve diğer hizmetler farklı devirler kullanır.

Tarayıcı adımı başarısız olduğunda bunları sırayla kontrol edin

Tarayıcıdan dışa doğru çalışın, çünkü hata mesajı genellikle ilkini değil son sıçramayı adlandırır.

Sayfa hiç yüklenmiyorsa istemcinin IdP URL'si veya ona giden yol yanlıştır. IdP isteği reddediyorsa hizmet sağlayıcı tanımlayıcısı veya callback yapılandırmasıyla eşleşmiyordur. Tarayıcı başarı gösteriyor ama istemci yine de başarısız oluyorsa yanıt yanlış yere ulaşmış ya da audience ve zaman doğrulamasından geçememiştir. Tünel erişim olmadan açılıyorsa assertion kabul edilmiş ama grup eşlemesi edilmemiştir.

Beklenen sayfayı, callback'i ve grup eşlemesini tek bir belgede tutun. Böylece bozuk bir VPN oturum açmasını bildiren kullanıcı bu dört şeyden hangisini gördüğünü söyleyebilir ve yanıt zaten yarı yazılmış olur.