Jak skonfigurować uwierzytelnianie Hailbytes VPN
Wprowadzenie
Teraz, gdy HailBytes VPN jest już skonfigurowany i skonfigurowany, możesz zacząć odkrywać niektóre funkcje bezpieczeństwa oferowane przez HailBytes. Możesz sprawdzić nasz blog, aby uzyskać instrukcje konfiguracji i funkcje VPN. W tym artykule omówimy metody uwierzytelniania obsługiwane przez HailBytes VPN oraz sposób dodawania metody uwierzytelniania.
Przegląd
HailBytes VPN oferuje kilka metod uwierzytelniania oprócz tradycyjnego uwierzytelniania lokalnego. Aby zmniejszyć ryzyko związane z bezpieczeństwem, zalecamy wyłączenie uwierzytelniania lokalnego. Zamiast tego zalecamy uwierzytelnianie wieloskładnikowe (MFA), OpenID Connect lub SAML 2.0.
- Usługa MFA dodaje dodatkową warstwę zabezpieczeń oprócz uwierzytelniania lokalnego. HailBytes VPN zawiera lokalne wbudowane wersje i obsługę zewnętrznego MFA dla wielu popularnych dostawców tożsamości, takich jak Okta, Azure AD i Onelogin.
- OpenID Connect to warstwa tożsamości zbudowana na protokole OAuth 2.0. Zapewnia bezpieczny i ustandaryzowany sposób uwierzytelniania i uzyskiwania informacji o użytkowniku od dostawcy tożsamości bez konieczności wielokrotnego logowania.
- SAML 2.0 to oparty na języku XML otwarty standard wymiany informacji uwierzytelniających i autoryzacyjnych między stronami. Pozwala użytkownikom na jednokrotne uwierzytelnienie u dostawcy tożsamości bez konieczności ponownego uwierzytelniania w celu uzyskania dostępu do różnych aplikacji.
OpenID Connect z konfiguracją platformy Azure
W tej sekcji pokrótce omówimy, jak zintegrować dostawcę tożsamości za pomocą OIDC Multi-Factor Authentication. Ten przewodnik dotyczy korzystania z usługi Azure Active Directory. Różni dostawcy tożsamości mogą mieć nietypowe konfiguracje i inne problemy.
- Zalecamy korzystanie z jednego z dostawców, który został w pełni obsługiwany i przetestowany: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 i Google Workspace.
- Jeśli nie korzystasz z zalecanego dostawcy OIDC, wymagane są następujące konfiguracje.
a) discovery_document_uri: Identyfikator URI konfiguracji dostawcy OpenID Connect, który zwraca dokument JSON używany do konstruowania kolejnych żądań do tego dostawcy OIDC. Niektórzy dostawcy nazywają to „dobrze znanym adresem URL”.
b) client_id: Identyfikator klienta aplikacji.
c) client_secret: Sekret klienta aplikacji.
d) redirect_uri: Instruuje dostawcę OIDC, gdzie przekierować po uwierzytelnieniu. To powinno być twoje Firezone EXTERNAL_URL + /auth/oidc/ /oddzwanianie/, np. https://firezone.example.com/auth/oidc/google/oddzwanianie/.
e) typ_odpowiedzi: Ustaw na kod.
f) zakres: zakresy OIDC do uzyskania od dostawcy OIDC. Jako minimum Firezone wymaga zakresów openid i email.
g) etykieta: Tekst etykiety przycisku wyświetlany na stronie logowania do portalu Firezone.
- Przejdź do strony Azure Active Directory w Azure Portal. Wybierz link Rejestracje aplikacji w menu Zarządzaj, kliknij Nowa rejestracja i zarejestruj się po wprowadzeniu następujących danych:
a) Nazwa: Firezone
b) Obsługiwane typy kont: (tylko katalog domyślny — pojedynczy najemca)
c) URI przekierowania: To powinien być twój Firezone EXTERNAL_URL + /auth/oidc/ /oddzwanianie/, np. https://firezone.example.com/auth/oidc/azure/callback/.
- Po rejestracji otwórz widok szczegółów aplikacji i skopiuj ID aplikacji (klienta). Będzie to wartość client_id.
- Otwórz menu punktów końcowych, aby pobrać dokument metadanych OpenID Connect. Będzie to wartość Discovery_document_uri.
- Wybierz łącze Certyfikaty i klucze tajne w menu Zarządzaj i utwórz nowy klucz tajny klienta. Skopiuj klucz tajny klienta. Będzie to wartość client_secret.
- Wybierz link uprawnienia interfejsu API w menu Zarządzaj, kliknij opcję Dodaj uprawnienie i wybierz pozycję Microsoft Graph. Dodaj e-mail, identyfikator openid, dostęp offline i profil do wymaganych uprawnień.
- Przejdź do strony /settings/security w portalu administratora, kliknij „Dodaj dostawcę OpenID Connect” i wprowadź dane uzyskane w powyższych krokach.
- Włącz lub wyłącz opcję Automatycznie twórz użytkowników, aby automatycznie tworzyć użytkownika nieuprzywilejowanego podczas logowania za pomocą tego mechanizmu uwierzytelniania.
Gratulacje! Na stronie logowania powinien być widoczny przycisk Zaloguj się za pomocą platformy Azure.
Wnioski
HailBytes VPN oferuje różne metody uwierzytelniania, w tym uwierzytelnianie wieloskładnikowe, OpenID Connect i SAML 2.0. Dzięki integracji OpenID Connect z Azure Active Directory, jak pokazano w artykule, Twoi pracownicy mogą wygodnie i bezpiecznie uzyskiwać dostęp do Twoich zasobów w chmurze lub AWS.
