Com configurar l'autenticació VPN Hailbytes
introducció
Ara que teniu HailBytes VPN configurat i configurat, podeu començar a explorar algunes de les funcions de seguretat que HailBytes ofereix. Podeu consultar el nostre bloc per obtenir instruccions i funcions de configuració de la VPN. En aquest article, tractarem els mètodes d'autenticació compatibles amb HailBytes VPN i com afegir un mètode d'autenticació.
Descripció
HailBytes VPN ofereix diversos mètodes d'autenticació a més de l'autenticació local tradicional. Per reduir els riscos de seguretat, recomanem desactivar les autenticacions locals. En canvi, recomanem l'autenticació multifactor (MFA), OpenID Connect o SAML 2.0.
- MFA afegeix una capa addicional de seguretat a més de l'autenticació local. HailBytes VPN inclou versions locals integrades i suport per a MFA extern per a molts proveïdors d'identitat populars com Okta, Azure AD i Onelogin.
- OpenID Connect és una capa d'identitat basada en el protocol OAuth 2.0. Proporciona una manera segura i estandarditzada d'autenticar i obtenir informació d'usuari d'un proveïdor d'identitat sense haver d'iniciar sessió diverses vegades.
- SAML 2.0 és un estàndard obert basat en XML per intercanviar informació d'autenticació i autorització entre parts. Permet als usuaris autenticar-se una vegada amb un proveïdor d'identitat sense haver d'autenticar-se de nou per accedir a diferents aplicacions.
OpenID Connect amb la configuració d'Azure
En aquesta secció, explicarem breument com integrar el vostre proveïdor d'identitat mitjançant l'autenticació multifactor OIDC. Aquesta guia està orientada a utilitzar Azure Active Directory. Diferents proveïdors d'identitat poden tenir configuracions poc habituals i altres problemes.
- Us recomanem que utilitzeu un dels proveïdors que hagi estat totalment compatible i provat: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 i Google Workspace.
- Si no utilitzeu un proveïdor OIDC recomanat, calen les configuracions següents.
a) discovery_document_uri: l'URI de configuració del proveïdor d'OpenID Connect que retorna un document JSON utilitzat per construir sol·licituds posteriors a aquest proveïdor OIDC. Alguns proveïdors es refereixen a això com a "URL conegut".
b) client_id: L'identificador de client de l'aplicació.
c) client_secret: el secret del client de l'aplicació.
d) redirect_uri: indica al proveïdor OIDC on redirigir després de l'autenticació. Aquest hauria de ser el vostre Firezone EXTERNAL_URL + /auth/oidc/ /callback/, p. ex. https://firezone.example.com/auth/oidc/google/callback/.
e) response_type: s'estableix en codi.
f) àmbit: àmbits OIDC que cal obtenir del vostre proveïdor OIDC. Com a mínim, Firezone requereix els àmbits openid i correu electrònic.
g) etiqueta: el text de l'etiqueta del botó que es mostra a la pàgina d'inici de sessió del portal Firezone.
- Aneu a la pàgina Azure Active Directory al portal Azure. Seleccioneu l'enllaç Registres d'aplicacions al menú Gestiona, feu clic a Registre nou i registreu-vos després d'introduir el següent:
a) Nom: Firezone
b) Tipus de compte admesos: (només directori predeterminat: inquilí únic)
c) URI de redirecció: aquest hauria de ser el vostre URL_EXTERN de Firezone + /auth/oidc/ /callback/, p. ex. https://firezone.example.com/auth/oidc/azure/callback/.
- Després de registrar-se, obriu la vista de detalls de l'aplicació i copieu l'ID de l'aplicació (client). Aquest serà el valor client_id.
- Obriu el menú de punts finals per recuperar el document de metadades d'OpenID Connect. Aquest serà el valor discovery_document_uri.
- Seleccioneu l'enllaç Certificats i secrets al menú Gestiona i creeu un nou secret de client. Copieu el secret del client. Aquest serà el valor client_secret.
- Seleccioneu l'enllaç de permisos de l'API al menú Gestiona, feu clic a Afegeix un permís i seleccioneu Microsoft Graph. Afegiu correu electrònic, openid, offline_access i perfil als permisos necessaris.
- Navegueu a la pàgina /settings/security al portal d'administració, feu clic a "Afegeix un proveïdor de connexió OpenID" i introduïu els detalls que heu obtingut als passos anteriors.
- Activeu o desactiveu l'opció Crear usuaris automàticament per crear automàticament un usuari sense privilegis quan inicieu la sessió mitjançant aquest mecanisme d'autenticació.
Felicitats! Hauríeu de veure el botó A Sign In with Azure a la vostra pàgina d'inici de sessió.
Conclusió
HailBytes VPN ofereix una varietat de mètodes d'autenticació, inclosa l'autenticació multifactor, OpenID Connect i SAML 2.0. En integrar OpenID Connect amb Azure Active Directory, tal com es demostra a l'article, la vostra força de treball pot accedir de manera còmoda i segura als vostres recursos al núvol o a AWS.
