Como configurar a autenticación VPN de Hailbytes
introdución
Agora que tes HailBytes VPN configurado e configurado, podes comezar a explorar algunhas das funcións de seguridade que HailBytes ten para ofrecer. Podes consultar o noso blog para obter instrucións de configuración e funcións para a VPN. Neste artigo, trataremos os métodos de autenticación admitidos por HailBytes VPN e como engadir un método de autenticación.
visión global
HailBytes VPN ofrece varios métodos de autenticación ademais da autenticación local tradicional. Para reducir os riscos de seguranza, recomendamos desactivar as autenticacións locais. En cambio, recomendamos a autenticación multifactor (MFA), OpenID Connect ou SAML 2.0.
- MFA engade unha capa adicional de seguridade ademais da autenticación local. HailBytes VPN inclúe versións integradas locais e soporte para MFA externo para moitos provedores de identidade populares como Okta, Azure AD e Onelogin.
- OpenID Connect é unha capa de identidade construída no protocolo OAuth 2.0. Ofrece un xeito seguro e estandarizado de autenticar e obter información do usuario dun provedor de identidade sen ter que iniciar sesión varias veces.
- SAML 2.0 é un estándar aberto baseado en XML para o intercambio de información de autenticación e autorización entre partes. Permite aos usuarios autenticarse unha vez cun provedor de identidade sen ter que volver a autenticarse para acceder a diferentes aplicacións.
OpenID Connect coa configuración de Azure
Nesta sección, explicaremos brevemente como integrar o seu provedor de identidade mediante a autenticación multifactor OIDC. Esta guía está orientada ao uso de Azure Active Directory. Distintos provedores de identidade poden ter configuracións pouco comúns e outros problemas.
- Recomendámosche que utilices un dos provedores que foi totalmente compatible e probado: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 e Google Workspace.
- Se non está a usar un provedor OIDC recomendado, son necesarias as seguintes configuracións.
a) discovery_document_uri: o URI de configuración do provedor de OpenID Connect que devolve un documento JSON usado para construír solicitudes posteriores a este provedor OIDC. Algúns provedores fan referencia a isto como o "URL coñecido".
b) client_id: ID de cliente da aplicación.
c) client_secret: o segredo do cliente da aplicación.
d) redirect_uri: indica ao provedor OIDC onde redirixir despois da autenticación. Este debería ser o teu Firezone EXTERNAL_URL + /auth/oidc/ /callback/, por exemplo, https://firezone.example.com/auth/oidc/google/callback/.
e) response_type: Establécese como código.
f) ámbito: ámbitos OIDC para obter do seu provedor OIDC. Como mínimo, Firezone require os ámbitos openid e correo electrónico.
g) etiqueta: o texto da etiqueta do botón que aparece na páxina de inicio de sesión do portal Firezone.
- Vaia á páxina de Azure Active Directory no portal de Azure. Seleccione a ligazón Rexistros da aplicación no menú Xestionar, prema Novo rexistro e rexístrese despois de introducir o seguinte:
a) Nome: Firezone
b) Tipos de conta admitidos: (só directorio predeterminado: inquilino único)
c) URI de redirección: este debería ser o teu Firezone EXTERNAL_URL + /auth/oidc/ /callback/, por exemplo https://firezone.example.com/auth/oidc/azure/callback/.
- Despois de rexistrarse, abra a vista de detalles da aplicación e copie o ID da aplicación (cliente). Este será o valor client_id.
- Abre o menú de puntos finais para recuperar o documento de metadatos de OpenID Connect. Este será o valor discovery_document_uri.
- Seleccione a ligazón Certificados e segredos no menú Xestionar e cree un novo segredo de cliente. Copia o segredo do cliente. Este será o valor client_secret.
- Seleccione a ligazón de permisos da API no menú Xestionar, faga clic en Engadir un permiso e seleccione Microsoft Graph. Engade correo electrónico, openid, offline_access e perfil aos permisos necesarios.
- Navega á páxina /configuración/seguridade do portal de administración, fai clic en "Engadir provedor de conexión OpenID" e introduce os detalles que obtivo nos pasos anteriores.
- Activa ou desactiva a opción Crear usuarios automaticamente para crear automaticamente un usuario sen privilexios ao iniciar sesión a través deste mecanismo de autenticación.
Parabéns! Deberías ver un botón Iniciar sesión con Azure na túa páxina de inicio de sesión.
Conclusión
HailBytes VPN ofrece unha variedade de métodos de autenticación, incluíndo a autenticación multifactor, OpenID Connect e SAML 2.0. Ao integrar OpenID Connect con Azure Active Directory como se demostra no artigo, a súa forza de traballo pode acceder de forma cómoda e segura aos seus recursos na nube ou AWS.
