Hoe Hailbytes VPN-authenticatie in te stellen
Introductie
Nu je HailBytes VPN hebt ingesteld en geconfigureerd, kun je beginnen met het verkennen van enkele van de beveiligingsfuncties die HailBytes te bieden heeft. U kunt onze blog raadplegen voor installatie-instructies en functies voor de VPN. In dit artikel behandelen we de authenticatiemethoden die worden ondersteund door HailBytes VPN en hoe u een authenticatiemethode kunt toevoegen.
Overzicht
HailBytes VPN biedt naast traditionele lokale authenticatie verschillende authenticatiemethoden. Om beveiligingsrisico's te verminderen, raden we aan lokale authenticaties uit te schakelen. In plaats daarvan raden we multi-factor authenticatie (MFA), OpenID Connect Connect of SAML 2.0 aan.
- MFA voegt een extra beveiligingslaag toe bovenop lokale authenticatie. HailBytes VPN bevat lokale ingebouwde versies en ondersteuning voor externe MFA voor veel populaire identiteitsproviders zoals Okta, Azure AD en Onelogin.
- OpenID Connect Connect is een identiteitslaag die is gebouwd op het OAuth 2.0-protocol. Het biedt een veilige en gestandaardiseerde manier om gebruikersinformatie te verifiëren en te verkrijgen van een identiteitsprovider zonder meerdere keren in te loggen.
- SAML 2.0 is een op XML gebaseerde open standaard voor het uitwisselen van authenticatie- en autorisatie-informatie tussen partijen. Hiermee kunnen gebruikers zich één keer authenticeren bij een identiteitsprovider zonder zich opnieuw te hoeven authenticeren om toegang te krijgen tot verschillende applicaties.
OpenID Connect met Azure instellen
In dit gedeelte gaan we kort in op hoe u uw identiteitsprovider kunt integreren met behulp van OIDC Multi-Factor Authentication. Deze handleiding is gericht op het gebruik van Azure Active Directory. Verschillende identiteitsproviders kunnen ongebruikelijke configuraties en andere problemen hebben.
- We raden u aan een van de providers te gebruiken die volledig is ondersteund en getest: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 en Google Workspace.
- Als u geen aanbevolen OIDC-provider gebruikt, zijn de volgende configuraties vereist.
a) discovery_document_uri: de configuratie-URI van de OpenID Connect-provider die een JSON-document retourneert dat wordt gebruikt om volgende verzoeken aan deze OIDC-provider op te stellen. Sommige providers noemen dit de "bekende URL".
b) client_id: de client-ID van de applicatie.
c) client_secret: het clientgeheim van de applicatie.
d) redirect_uri: Instrueert de OIDC-provider waar deze moet worden omgeleid na authenticatie. Dit moet uw Firezone EXTERNAL_URL + /auth/oidc/ zijn /callback/, bijv. https://firezone.example.com/auth/oidc/google/callback/.
e) response_type: ingesteld op code.
f) bereik: OIDC-bereiken die u kunt verkrijgen bij uw OIDC-provider. Firezone vereist minimaal de openid- en e-mailbereiken.
g) label: de knoplabeltekst die wordt weergegeven op de inlogpagina van de Firezone-portal.
- Navigeer naar de Azure Active Directory-pagina op de Azure-portal. Selecteer de koppeling App-registraties onder het menu Beheren, klik op Nieuwe registratie en registreer u nadat u het volgende hebt ingevoerd:
a) Naam: Firezone
b) Ondersteunde accounttypen: (Alleen standaarddirectory – enkele tenant)
c) Omleidings-URI: dit moet uw Firezone EXTERNAL_URL + /auth/oidc/ zijn /callback/, bijvoorbeeld https://firezone.example.com/auth/oidc/azure/callback/.
- Open na registratie de detailweergave van de applicatie en kopieer de Application (client) ID. Dit is de client_id-waarde.
- Open het endpoints-menu om het OpenID Connect-metadatadocument op te halen. Dit is de waarde discovery_document_uri.
- Selecteer de link Certificaten en geheimen onder het menu Beheren en maak een nieuw klantgeheim aan. Kopieer het clientgeheim. Dit wordt de waarde client_secret.
- Selecteer de koppeling API-machtigingen onder het menu Beheren, klik op Een machtiging toevoegen en selecteer Microsoft Graph. Voeg e-mail, openid, offline_access en profiel toe aan de vereiste machtigingen.
- Navigeer naar de pagina /settings/security in het beheerportaal, klik op "OpenID Connect Provider toevoegen" en voer de gegevens in die u in de bovenstaande stappen hebt verkregen.
- Schakel de optie Automatisch gebruikers aanmaken in of uit om automatisch een onbevoegde gebruiker aan te maken wanneer u zich aanmeldt via dit authenticatiemechanisme.
Gefeliciteerd! U zou een knop Aanmelden met Azure op uw aanmeldingspagina moeten zien.
Conclusie
HailBytes VPN biedt verschillende authenticatiemethoden, waaronder multi-factor authenticatie, OpenID Connect en SAML 2.0. Door OpenID Connect Connect te integreren met Azure Active Directory, zoals aangetoond in het artikel, kunnen uw medewerkers gemakkelijk en veilig toegang krijgen tot uw resources in de cloud of AWS.
