Kako postaviti Hailbytes VPN autentifikaciju
Uvod
Sada kada ste postavili i konfigurirali HailBytes VPN, možete početi istraživati neke od sigurnosnih funkcija koje HailBytes nudi. Možete provjeriti naš blog za upute za postavljanje i značajke za VPN. U ovom članku ćemo pokriti metode provjere autentičnosti koje podržava HailBytes VPN i kako dodati metodu provjere autentičnosti.
pregled
HailBytes VPN nudi nekoliko metoda provjere autentičnosti osim tradicionalne lokalne autentifikacije. Da biste smanjili sigurnosne rizike, preporučujemo da onemogućite lokalne autentifikacije. Umjesto toga, preporučujemo višefaktorsku autentifikaciju (MFA), OpenID Connect ili SAML 2.0.
- MFA dodaje dodatni sloj sigurnosti povrh lokalne autentifikacije. HailBytes VPN uključuje lokalne ugrađene verzije i podršku za eksterni MFA za mnoge popularne dobavljače identiteta kao što su Okta, Azure AD i Onelogin.
- OpenID Connect je sloj identiteta izgrađen na OAuth 2.0 protokolu. Pruža siguran i standardiziran način za autentifikaciju i dobivanje korisničkih informacija od provajdera identiteta bez potrebe za višestrukom prijavom.
- SAML 2.0 je otvoreni standard zasnovan na XML-u za razmenu informacija o autentifikaciji i autorizaciji između strana. Omogućava korisnicima da se jednom provjere autentičnosti kod provajdera identiteta bez potrebe za ponovnom autentifikacijom da bi pristupili različitim aplikacijama.
OpenID Connect with Azure Setup
U ovom ćemo odjeljku ukratko govoriti o tome kako integrirati vašeg provajdera identiteta koristeći OIDC višefaktorsku autentifikaciju. Ovaj vodič je usmjeren na korištenje Azure Active Directory. Različiti dobavljači identiteta mogu imati neobične konfiguracije i druge probleme.
- Preporučujemo da koristite jednog od dobavljača koji je u potpunosti podržan i testiran: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 i Google Workspace.
- Ako ne koristite preporučenog OIDC provajdera, potrebne su sljedeće konfiguracije.
a) discovery_document_uri: URI konfiguracije OpenID Connect provajdera koji vraća JSON dokument koji se koristi za izradu naknadnih zahtjeva ovom OIDC provajderu. Neki provajderi ovo nazivaju „dobro poznatim URL-om“.
b) client_id: ID klijenta aplikacije.
c) client_secret: Tajna klijenta aplikacije.
d) redirect_uri: Upućuje OIDC provajderu gdje da preusmjeri nakon provjere autentičnosti. Ovo bi trebao biti vaš Firezone EXTERNAL_URL + /auth/oidc/ /povratni poziv/, npr. https://firezone.example.com/auth/oidc/google/callback/.
e) response_type: Postavite na kod.
f) opseg: OIDC opsegi koje možete dobiti od vašeg OIDC provajdera. U najmanju ruku, Firezone zahtijeva opseg openid i email.
g) oznaka: Tekst oznake gumba prikazan na stranici za prijavu na Firezone portal.
- Idite na stranicu Azure Active Directory na Azure portalu. Odaberite vezu Registracija aplikacije u meniju Upravljanje, kliknite Nova registracija i registrirajte se nakon što unesete sljedeće:
a) Naziv: Firezone
b) Podržani tipovi naloga: (Samo podrazumevani direktorijum – jedan zakupac)
c) URI preusmjeravanja: Ovo bi trebao biti vaš Firezone EXTERNAL_URL + /auth/oidc/ /povratni poziv/, npr. https://firezone.example.com/auth/oidc/azure/callback/.
- Nakon registracije, otvorite prikaz detalja aplikacije i kopirajte ID aplikacije (klijenta). Ovo će biti vrijednost client_id.
- Otvorite meni krajnjih tačaka da preuzmete OpenID Connect dokument metapodataka. Ovo će biti vrijednost discovery_document_uri.
- Odaberite vezu Certifikati i tajne pod izbornikom Upravljanje i kreirajte novu tajnu klijenta. Kopirajte tajnu klijenta. Ovo će biti vrijednost client_secret.
- Odaberite vezu API dozvola u izborniku Upravljanje, kliknite Dodaj dozvolu i odaberite Microsoft Graph. Dodajte email, openid, offline_access i profil potrebnim dozvolama.
- Idite na stranicu /settings/security na portalu administratora, kliknite na „Dodaj OpenID Connect Provider“ i unesite detalje koje ste dobili u gornjim koracima.
- Omogućite ili onemogućite opciju Automatsko kreiranje korisnika da automatski kreirate neprivilegovanog korisnika prilikom prijavljivanja putem ovog mehanizma provjere autentičnosti.
Čestitamo! Trebali biste vidjeti dugme Prijava pomoću Azure na stranici za prijavu.
zaključak
HailBytes VPN nudi različite metode provjere autentičnosti, uključujući višefaktorsku autentifikaciju, OpenID Connect i SAML 2.0. Integracijom OpenID Connect-a sa Azure Active Directory-om kao što je prikazano u članku, vaša radna snaga može na praktičan i siguran način pristupiti vašim resursima u oblaku ili AWS-u.
