AWS Client VPN SAML اور Google Workspace: کال بیک کا خلا

app_not_configured_for_user صفحہ Google Workspace سے آتا ہے اور کسی بھی ٹنل پیکٹ کی گفت و شنید سے پہلے ظاہر ہوتا ہے۔ یہی ترتیب پوری تشخیص ہے۔ کلائنٹ کو دوبارہ انسٹال کرنا، پروفائل میں ترمیم کرنا یا راستے جانچنا ایسے صفحے کو صاف نہیں کر سکتا جو VPN اینڈ پوائنٹ نے ابھی نہیں دیکھا۔ ناکام ہونے والا مرحلہ براؤزر میں شناخت فراہم کنندہ اور صارف کی اپنی مشین پر موجود سننے والے کے درمیان حوالگی ہے، اور اس حوالگی میں ٹھیک تین چیزیں جانچنے کے قابل ہیں۔

صفحے کو شناخت فراہم کنندہ کے بیان کے طور پر پڑھیں

Google یہ تب واپس کرتا ہے جب SAML ایپلیکیشن اس اکاؤنٹ کے لیے فعال نہ ہو جس نے سائن اِن کیا۔ ایپ بند ہو سکتی ہے، صارف مقرر کردہ تنظیمی اکائی یا گروپ سے باہر ہو سکتا ہے، یا سروس فراہم کنندہ کی ترتیبات درخواست کی طلب سے مطابقت نہ رکھتی ہوں۔

ان میں سے کوئی بھی سرٹیفکیٹ، راستے یا ٹنل کا مسئلہ نہیں، اگرچہ صارف نے یہ VPN کلائنٹ میں دیکھا۔

وہ دو قدریں جنہیں کلائنٹ قبول کرے گا

AWS Client VPN سروس فراہم کنندہ کی طرف سے شروع کردہ SAML تبادلہ کرتا ہے، اس لیے کلائنٹ براؤزر کھولتا ہے، صارف خود کی توثیق کرتا ہے، اور فراہم کنندہ دستخط شدہ دعویٰ Assertion Consumer Service URL پر واپس بھیجتا ہے۔ AWS کا فراہم کردہ ڈیسک ٹاپ کلائنٹ کے لیے وہ URL loopback پر سننے والا ہے، عام طور پر پورٹ 35001، اور متوقع سامعین Client VPN SAML ایپلیکیشن کی entity شناخت ہے، AWS کنسول کی سائن اِن entity نہیں۔

دونوں قدروں کو کلائنٹ کی توقع سے مطابقت رکھنی چاہیے: دعویٰ کہاں بھیجا جاتا ہے اور کس سے مخاطب ہے۔ کنسول کی SSO ایپلیکیشن سے نقل کی گئی ترتیب بالکل قابلِ اعتماد لگ سکتی ہے اور پھر بھی غلط جوڑی کو نشانہ بنا سکتی ہے۔

دونوں قدریں Client VPN SAML کی ضروریات سے لیں، AWS کی عمومی سنگل سائن اِن گائیڈ سے نہیں۔ کنسول کی SSO entity اتنی ملتی جلتی ہے کہ لبھانے والی ہو۔ یہ مختلف سامعین والی مختلف ایپلیکیشن ہے، اور کلائنٹ خود وضاحت کیے بغیر دعویٰ مسترد کر دیتا ہے۔ جوڑی ایک بار نقل کریں اور پروفائل کے پاس رکھیں۔

Google سادہ HTTP کال بیک قبول نہیں کرے گا

ایڈمن کنسول HTTPS ACS URL مانگتا ہے، اور کلائنٹ کا کال بیک loopback پر سادہ HTTP ہے۔ وہ قدر Workspace ایپ کی ترتیب میں لکھی ہی نہیں جا سکتی، اسی لیے کچھ ٹیمیں ایسا معکوس پراکسی آزمانی ہیں جو TLS ختم کر کے مقامی سننے والے کو بھیجتا ہے۔ اس سے عدم مطابقت دور نہیں ہوتی: براؤزر ایک اصل دیکھتا ہے، کلائنٹ دوسری کا اعلان کرتا ہے، اور واپس آنے والا جواب غلط منزل پر پہنچ سکتا ہے۔

جو ترتیب کام کرتی ہے وہ دلال شناخت فراہم کنندہ ہے۔ دلال کے پاس SAML ایپلیکیشن کو loopback کال بیک اور AWS سامعین ملتے ہیں، اور دلال Workspace اکاؤنٹ کو اوپر کی طرف فیڈریٹ کرتا ہے۔ Google کا HTTPS قاعدہ پورا رہتا ہے، اور کلائنٹ تک پہنچنے والا دعویٰ اب بھی متوقع پتہ اور سامعین کا نام لیتا ہے۔

وہ دلال ایک انتظامی انحصار ہے جس کی ملکیت کوئی لے، نگرانی کرے اور ملازمت سے رخصتی میں شامل کرے۔ یہ دوسری جگہ بھی ہے جہاں خلل لاگ اِن کی ناکامی بن جاتا ہے۔ ڈیزائن کا وعدہ کرنے سے پہلے اس کی قیمت لگائیں۔ اگر کوئی اس کی ملکیت نہ لے، تو ایماندار جواب یہ ہے کہ AWS کلائنٹ Workspace کو اپنے واحد شناخت فراہم کنندہ کے طور پر استعمال نہیں کر سکتا۔

تخصیص اور دو مرحلوں کی تصدیق

کچھ بھی دوبارہ ڈیزائن کرنے سے پہلے تصدیق کریں کہ ایپ درست تنظیمی اکائی یا گروپ کے لیے فعال ہے، اور فریق ثالث کی SAML ایپس کے اپنے تخصیصی کنٹرول ہیں جو Google کی طرف کی ایپ فہرست سے الگ ہیں۔

یہ بھی جانچیں کہ اکاؤنٹ پر دو مرحلوں کی تصدیق فعال ہے یا نہیں۔ Google اسے تب لازمی کر سکتا ہے جب SAML ایپ صارف کے لیے قابلِ استعمال بنے، اور اصل دھاگے میں ایک جواب ٹھیک اسی طرح حل ہوا تھا۔ اسے خارج کرنا سب سے سستا اور آخر میں دریافت کرنا سب سے زیادہ پریشان کن ہے۔

صاف سیشن سے تصدیق کریں

کسی بھی تبدیلی کے بعد نئی براؤزر پروفائل اور صاف کلائنٹ ترتیب کے ساتھ جانچیں۔ محفوظ شدہ دعوے اور دوبارہ استعمال شدہ سیشن چھپا دیتے ہیں کہ اصلاح ہوئی یا نہیں۔

پھر دو ریکارڈ ساتھ ساتھ رکھ کر موازنہ کریں: شناخت فراہم کنندہ کا آڈٹ واقعہ اور کلائنٹ لاگ۔ ٹنل کے بغیر کامیاب سائن اِن کال بیک یا سامعین کی طرف اشارہ کرتا ہے۔ جڑا ہوا ٹنل مگر ناقابلِ رسائی وسیلہ روٹنگ یا اجازت کا مسئلہ ہے اور بالکل کسی اور جگہ کا ہے۔

کیا تبدیل نہ کریں

صفحہ عبور کرنے کے لیے پروفائل سے auth-federate نہ ہٹائیں اور نہ سرٹیفکیٹ جانچ بند کریں۔ دونوں ناکام کال بیک کی بجائے توثیق کا ڈیزائن بدلتے ہیں، اور دونوں عام طور پر اگلی کلائنٹ اپ ڈیٹ پر ٹوٹ جاتے ہیں۔

اس کے بجائے حوالگی درست کریں، اور ایسی نوٹ چھوڑیں جس میں دلال، سامعین اور loopback پورٹ کا نام ہو۔ صفحہ دیکھنے والے اگلے شخص کو تینوں درکار ہوں گے۔