Paano Mag-set Up ng Hailbytes VPN Authentication
pagpapakilala
Ngayong mayroon ka nang setup at na-configure na HailBytes VPN, maaari mong simulan ang paggalugad ng ilan sa mga feature ng seguridad na inaalok ng HailBytes. Maaari mong suriin ang aming blog para sa mga tagubilin sa pag-setup at mga tampok para sa VPN. Sa artikulong ito, tatalakayin namin ang mga pamamaraan ng pagpapatunay na sinusuportahan ng HailBytes VPN at kung paano magdagdag ng paraan ng pagpapatunay.
Pangkalahatang-ideya
Nag-aalok ang HailBytes VPN ng ilang mga pamamaraan ng pagpapatunay bukod sa tradisyonal na lokal na pagpapatunay. Upang mabawasan ang mga panganib sa seguridad, inirerekomenda namin na huwag paganahin ang mga lokal na pagpapatotoo. Sa halip, inirerekomenda namin ang multi-factor authentication (MFA), OpenID Connect, o SAML 2.0.
- Nagdaragdag ang MFA ng karagdagang layer ng seguridad sa ibabaw ng lokal na pagpapatotoo. Kasama sa HailBytes VPN ang isang lokal na built-in na bersyon at suporta para sa panlabas na MFA para sa maraming sikat na provider ng pagkakakilanlan tulad ng Okta, Azure AD, at Onelogin.
- Ang OpenID Connect ay isang layer ng pagkakakilanlan na binuo sa OAuth 2.0 protocol. Nagbibigay ito ng secure at standardized na paraan upang patotohanan at makuha ang impormasyon ng user mula sa isang identity provider nang hindi kinakailangang mag-login nang maraming beses.
- Ang SAML 2.0 ay isang nakabatay sa XML na bukas na pamantayan para sa pagpapalitan ng impormasyon ng pagpapatunay at pagpapahintulot sa pagitan ng mga partido. Nagbibigay-daan ito sa mga user na mag-authenticate nang isang beses gamit ang isang identity provider nang hindi kinakailangang muling magpatotoo upang ma-access ang iba't ibang mga application.
OpenID Connect with Azure Set up
Sa seksyong ito, tatalakayin namin sandali kung paano isama ang iyong identity provider gamit ang OIDC Multi-Factor Authentication. Ang gabay na ito ay nakatuon sa paggamit ng Azure Active Directory. Ang iba't ibang tagapagbigay ng pagkakakilanlan ay maaaring may mga hindi pangkaraniwang pagsasaayos at iba pang mga isyu.
- Inirerekomenda naming gamitin mo ang isa sa mga provider na ganap na sinusuportahan at nasubok: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0, at Google Workspace.
- Kung hindi ka gumagamit ng inirerekomendang OIDC provider, kinakailangan ang mga sumusunod na configuration.
a) discovery_document_uri: Ang URI ng configuration ng OpenID Connect provider na nagbabalik ng isang JSON na dokumento na ginamit upang bumuo ng mga kasunod na kahilingan sa OIDC provider na ito. Tinutukoy ito ng ilang provider bilang "kilalang URL".
b) client_id: Ang client ID ng application.
c) client_secret: Ang sikreto ng kliyente ng application.
d) redirect_uri: Nagtuturo sa OIDC provider kung saan magre-redirect pagkatapos ng authentication. Ito dapat ang iyong Firezone EXTERNAL_URL + /auth/oidc/ /callback/, hal. https://firezone.example.com/auth/oidc/google/callback/.
e) response_type: Itakda sa code.
f) saklaw: Mga saklaw ng OIDC na makukuha mula sa iyong provider ng OIDC. Sa pinakamababa, kailangan ng Firezone ang openid at mga saklaw ng email.
g) label: Ang text label ng button na ipinapakita sa page ng pag-login ng portal ng Firezone.
- Mag-navigate sa pahina ng Azure Active Directory sa portal ng Azure. Piliin ang link ng Mga pagpaparehistro ng app sa ilalim ng menu na Pamahalaan, i-click ang Bagong Pagpaparehistro, at magparehistro pagkatapos ipasok ang sumusunod:
a) Pangalan: Firezone
b) Mga sinusuportahang uri ng account: (Default na Direktoryo lamang – Nag-iisang nangungupahan)
c) Redirect URI: Ito dapat ang iyong Firezone EXTERNAL_URL + /auth/oidc/ /callback/, hal. https://firezone.example.com/auth/oidc/azure/callback/.
- Pagkatapos magparehistro, buksan ang view ng mga detalye ng application at kopyahin ang Application (client) ID. Ito ang magiging value ng client_id.
- Buksan ang menu ng mga endpoint upang kunin ang dokumento ng metadata ng OpenID Connect. Ito ang magiging halaga ng discovery_document_uri.
- Piliin ang link na Mga Certificate at lihim sa ilalim ng menu na Pamahalaan at lumikha ng bagong sikreto ng kliyente. Kopyahin ang sikreto ng kliyente. Ito ang magiging client_secret value.
- Piliin ang link ng mga pahintulot ng API sa ilalim ng menu na Pamahalaan, i-click ang Magdagdag ng pahintulot, at piliin ang Microsoft Graph. Magdagdag ng email, openid, offline_access at profile sa mga kinakailangang pahintulot.
- Mag-navigate sa /settings/security page sa admin portal, i-click ang “Add OpenID Connect Provider” at ilagay ang mga detalyeng nakuha mo sa mga hakbang sa itaas.
- Paganahin o huwag paganahin ang pagpipiliang Awtomatikong gumawa ng mga user upang awtomatikong lumikha ng isang walang pribilehiyong user kapag nagsa-sign in sa pamamagitan ng mekanismo ng pagpapatunay na ito.
Binabati kita! Dapat mong makita ang A Sign In with Azure na button sa iyong page sa pag-sign in.
Konklusyon
Nag-aalok ang HailBytes VPN ng iba't ibang paraan ng pagpapatunay, kabilang ang multi-factor na pagpapatotoo, OpenID Connect, at SAML 2.0. Sa pamamagitan ng pagsasama ng OpenID Connect sa Azure Active Directory gaya ng ipinakita sa artikulo, maginhawa at secure na maa-access ng iyong workforce ang iyong mga mapagkukunan sa Cloud o AWS.
