როგორ დავაყენოთ Hailbytes VPN ავთენტიფიკაცია
შესავალი
ახლა, როდესაც თქვენ გაქვთ HailBytes VPN დაყენება და კონფიგურაცია, შეგიძლიათ დაიწყოთ უსაფრთხოების ზოგიერთი ფუნქციის შესწავლა, რომელსაც HailBytes გთავაზობთ. შეგიძლიათ შეამოწმოთ ჩვენი ბლოგი VPN-ის დაყენების ინსტრუქციებისა და ფუნქციებისთვის. ამ სტატიაში განვიხილავთ HailBytes VPN-ის მიერ მხარდაჭერილი ავთენტიფიკაციის მეთოდებს და როგორ დავამატოთ ავტორიზაციის მეთოდი.
მიმოხილვა
HailBytes VPN გთავაზობთ ავთენტიფიკაციის რამდენიმე მეთოდს ტრადიციული ადგილობრივი ავტორიზაციის გარდა. უსაფრთხოების რისკების შესამცირებლად, ჩვენ გირჩევთ გამორთოთ ადგილობრივი ავთენტიფიკაცია. ამის ნაცვლად, ჩვენ გირჩევთ მრავალფაქტორიან ავთენტიფიკაციას (MFA), OpenID Connect ან SAML 2.0.
- MFA ამატებს უსაფრთხოების დამატებით ფენას ადგილობრივი ავთენტიფიკაციის თავზე. HailBytes VPN მოიცავს ადგილობრივ ჩაშენებულ ვერსიებს და გარე MFA-ს მხარდაჭერას მრავალი პოპულარული პირადობის პროვაიდერისთვის, როგორიცაა Okta, Azure AD და Onelogin.
- OpenID Connect არის პირადობის ფენა, რომელიც აგებულია OAuth 2.0 პროტოკოლზე. ის უზრუნველყოფს უსაფრთხო და სტანდარტიზებულ გზას ავთენტიფიკაციისა და მომხმარებლის ინფორმაციის საიდენტიფიკაციო პროვაიდერისგან მისაღებად მრავალჯერ შესვლის გარეშე.
- SAML 2.0 არის XML-ზე დაფუძნებული ღია სტანდარტი მხარეებს შორის ავთენტიფიკაციისა და ავტორიზაციის ინფორმაციის გაცვლისთვის. ეს საშუალებას აძლევს მომხმარებლებს ერთხელ დაადასტურონ იდენტიფიკაციის პროვაიდერთან ხელახალი ავტორიზაციის გარეშე სხვადასხვა აპლიკაციებზე წვდომისთვის.
OpenID დაკავშირება Azure Set-ით
ამ განყოფილებაში ჩვენ მოკლედ ვისაუბრებთ იმაზე, თუ როგორ უნდა მოხდეს თქვენი პირადობის პროვაიდერის ინტეგრირება OIDC მრავალფაქტორიანი ავთენტიფიკაციის გამოყენებით. ეს გზამკვლევი მიმართულია Azure Active Directory-ის გამოყენებაზე. იდენტიფიკაციის სხვადასხვა პროვაიდერს შეიძლება ჰქონდეს იშვიათი კონფიგურაციები და სხვა პრობლემები.
- ჩვენ გირჩევთ გამოიყენოთ ერთ-ერთი პროვაიდერი, რომელიც სრულად არის მხარდაჭერილი და გამოცდილი: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 და Google Workspace.
- თუ არ იყენებთ რეკომენდებულ OIDC პროვაიდერს, საჭიროა შემდეგი კონფიგურაციები.
ა) discovery_document_uri: OpenID Connect პროვაიდერის კონფიგურაციის URI, რომელიც აბრუნებს JSON დოკუმენტს, რომელიც გამოიყენება შემდგომი მოთხოვნების შესაქმნელად ამ OIDC პროვაიდერთან. ზოგიერთი პროვაიდერი ამას მოიხსენიებს, როგორც "ცნობილ URL".
ბ) client_id: აპლიკაციის კლიენტის ID.
გ) client_secret: აპლიკაციის კლიენტის საიდუმლო.
დ) redirect_uri: ავალებს OIDC პროვაიდერს, სად გადამისამართდეს ავტორიზაციის შემდეგ. ეს უნდა იყოს თქვენი Firezone EXTERNAL_URL + /auth/oidc/ /callback/, მაგ: https://firezone.example.com/auth/oidc/google/callback/.
ე) პასუხის_ტიპი: დააყენეთ კოდი.
ვ) ფარგლები: OIDC სკოპები უნდა მიიღოთ თქვენი OIDC პროვაიდერისგან. მინიმუმ, Firezone მოითხოვს ღია და ელ.ფოსტის ფარგლებს.
ზ) label: ღილაკის ეტიკეტის ტექსტი ნაჩვენებია Firezone პორტალის შესვლის გვერდზე.
- გადადით Azure Active Directory გვერდზე Azure პორტალზე. აირჩიეთ აპლიკაციის რეგისტრაციის ბმული Manage მენიუში, დააწკაპუნეთ ახალი რეგისტრაცია და დარეგისტრირდით შემდეგში შესვლის შემდეგ:
ა) დასახელება: Firezone
ბ) მხარდაჭერილი ანგარიშების ტიპები: (მხოლოდ ნაგულისხმევი დირექტორია – ერთი მოიჯარე)
გ) გადამისამართების URI: ეს უნდა იყოს თქვენი Firezone EXTERNAL_URL + /auth/oidc/ /callback/, მაგ: https://firezone.example.com/auth/oidc/azure/callback/.
- რეგისტრაციის შემდეგ გახსენით აპლიკაციის დეტალების ხედი და დააკოპირეთ განაცხადის (კლიენტის) ID. ეს იქნება client_id მნიშვნელობა.
- გახსენით ბოლო წერტილების მენიუ OpenID Connect მეტამონაცემების დოკუმენტის მისაღებად. ეს იქნება discovery_document_uri მნიშვნელობა.
- აირჩიეთ სერთიფიკატები და საიდუმლოების ბმული Manage მენიუში და შექმენით ახალი კლიენტის საიდუმლო. დააკოპირეთ კლიენტის საიდუმლო. ეს იქნება client_secret მნიშვნელობა.
- აირჩიეთ API ნებართვების ბმული Manage მენიუში, დააწკაპუნეთ ნებართვის დამატებაზე და აირჩიეთ Microsoft Graph. დაამატეთ ელფოსტა, openid, offline_access და პროფილი საჭირო ნებართვებს.
- გადადით /პარამეტრები/უსაფრთხოების გვერდზე ადმინისტრაციულ პორტალში, დააწკაპუნეთ "OpenID Connect Provider-ის დამატება" და შეიყვანეთ ზემოთ მოცემულ ნაბიჯებში მიღებული დეტალები.
- ჩართეთ ან გამორთეთ მომხმარებლების ავტომატური შექმნის ვარიანტი, რათა ავტომატურად შექმნათ არაპრივილეგირებული მომხმარებელი ავტორიზაციის მექანიზმით შესვლისას.
გილოცავ! თქვენ უნდა იხილოთ შესვლის ღილაკი Azure-ით თქვენს შესვლის გვერდზე.
დასკვნა
HailBytes VPN გთავაზობთ ავთენტიფიკაციის მრავალფეროვან მეთოდს, მათ შორის მრავალფაქტორიანი ავთენტიფიკაციის, OpenID Connect და SAML 2.0. OpenID Connect-ის ინტეგრირებით Azure Active Directory-თან, როგორც ეს ნაჩვენებია სტატიაში, თქვენს სამუშაო ძალას შეუძლია მოხერხებულად და უსაფრთხოდ წვდომა თქვენს რესურსებზე Cloud-ზე ან AWS-ზე.
