Come impostare l'autenticazione VPN Hailbytes
Introduzione
Ora che hai installato e configurato la VPN HailBytes, puoi iniziare a esplorare alcune delle funzionalità di sicurezza che HailBytes ha da offrire. Puoi controllare il nostro blog per le istruzioni di configurazione e le funzionalità per la VPN. In questo articolo tratteremo i metodi di autenticazione supportati da HailBytes VPN e come aggiungere un metodo di autenticazione.
Panoramica
HailBytes VPN offre diversi metodi di autenticazione oltre alla tradizionale autenticazione locale. Per ridurre i rischi per la sicurezza, si consiglia di disabilitare le autenticazioni locali. Consigliamo invece l'autenticazione a più fattori (MFA), OpenID Connect o SAML 2.0.
- MFA aggiunge un ulteriore livello di sicurezza oltre all'autenticazione locale. HailBytes VPN include versioni integrate locali e supporto per MFA esterno per molti provider di identità popolari come Okta, Azure AD e Onelogin.
- OpenID Connect è un livello di identità basato sul protocollo OAuth 2.0. Fornisce un modo sicuro e standardizzato per autenticare e ottenere informazioni sull'utente da un provider di identità senza dover effettuare il login più volte.
- SAML 2.0 è uno standard aperto basato su XML per lo scambio di informazioni di autenticazione e autorizzazione tra le parti. Consente agli utenti di autenticarsi una volta con un provider di identità senza dover eseguire nuovamente l'autenticazione per accedere a diverse applicazioni.
OpenID Connect con la configurazione di Azure
In questa sezione, esamineremo brevemente come integrare il tuo provider di identità utilizzando l'autenticazione a più fattori OIDC. Questa guida è orientata all'uso di Azure Active Directory. Diversi provider di identità possono avere configurazioni non comuni e altri problemi.
- Ti consigliamo di utilizzare uno dei provider completamente supportati e testati: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 e Google Workspace.
- Se non utilizzi un provider OIDC consigliato, sono necessarie le seguenti configurazioni.
a) discovery_document_uri: l'URI di configurazione del provider OpenID Connect che restituisce un documento JSON utilizzato per costruire richieste successive a questo provider OIDC. Alcuni provider si riferiscono a questo come "URL noto".
b) client_id: l'ID client dell'applicazione.
c) client_secret: il segreto client dell'applicazione.
d) redirect_uri: indica al provider OIDC dove reindirizzare dopo l'autenticazione. Questo dovrebbe essere il tuo EXTERNAL_URL Firezone + /auth/oidc/ /callback/, ad esempio https://firezone.example.com/auth/oidc/google/callback/.
e) response_type: impostato su codice.
f) ambito: ambiti OIDC da ottenere dal provider OIDC. Come minimo, Firezone richiede gli ambiti openid e email.
g) etichetta: il testo dell'etichetta del pulsante visualizzato nella pagina di accesso al portale Firezone.
- Passare alla pagina Azure Active Directory nel portale di Azure. Selezionare il collegamento Registrazioni app nel menu Gestisci, fare clic su Nuova registrazione e registrarsi dopo aver inserito quanto segue:
a) Nome: Firezone
b) Tipi di account supportati: (solo directory predefinita - tenant singolo)
c) URI di reindirizzamento: questo dovrebbe essere il tuo EXTERNAL_URL di Firezone + /auth/oidc/ /callback/, ad esempio https://firezone.example.com/auth/oidc/azure/callback/.
- Dopo la registrazione, apri la visualizzazione dei dettagli dell'applicazione e copia l'ID dell'applicazione (cliente). Questo sarà il valore client_id.
- Apri il menu degli endpoint per recuperare il documento di metadati OpenID Connect. Questo sarà il valore discovery_document_uri.
- Selezionare il collegamento Certificati e segreti nel menu Gestisci e creare un nuovo segreto client. Copia il segreto client. Questo sarà il valore client_secret.
- Selezionare il collegamento autorizzazioni API nel menu Gestisci, fare clic su Aggiungi un'autorizzazione e selezionare Microsoft Graph. Aggiungi email, openid, offline_access e profile alle autorizzazioni richieste.
- Passare alla pagina /settings/security nel portale di amministrazione, fare clic su "Aggiungi provider OpenID Connect" e inserire i dettagli ottenuti nei passaggi precedenti.
- Abilitare o disabilitare l'opzione Crea utenti automaticamente per creare automaticamente un utente senza privilegi quando si accede tramite questo meccanismo di autenticazione.
Congratulazioni! Dovrebbe essere visualizzato il pulsante Accedi con Azure nella pagina di accesso.
Conclusione
HailBytes VPN offre una varietà di metodi di autenticazione, tra cui l'autenticazione a più fattori, OpenID Connect e SAML 2.0. Integrando OpenID Connect con Azure Active Directory, come dimostrato nell'articolo, la tua forza lavoro può accedere in modo comodo e sicuro alle tue risorse nel cloud o in AWS.
