So richten Sie die Hailbytes VPN-Authentifizierung ein
Einleitung
Nachdem Sie HailBytes VPN nun eingerichtet und konfiguriert haben, können Sie damit beginnen, einige der Sicherheitsfunktionen von HailBytes zu erkunden. In unserem Blog finden Sie Einrichtungsanweisungen und Funktionen für das VPN. In diesem Artikel behandeln wir die von HailBytes VPN unterstützten Authentifizierungsmethoden und wie man eine Authentifizierungsmethode hinzufügt.
Über uns
HailBytes VPN bietet neben der herkömmlichen lokalen Authentifizierung mehrere Authentifizierungsmethoden. Um Sicherheitsrisiken zu reduzieren, empfehlen wir, lokale Authentifizierungen zu deaktivieren. Stattdessen empfehlen wir Multi-Faktor-Authentifizierung (MFA), OpenID Connect oder SAML 2.0.
- MFA fügt zusätzlich zur lokalen Authentifizierung eine zusätzliche Sicherheitsebene hinzu. HailBytes VPN umfasst eine lokal integrierte Version und Unterstützung für externe MFA für viele beliebte Identitätsanbieter wie Okta, Azure AD und Onelogin.
- OpenID Connect ist eine Identitätsschicht, die auf dem OAuth 2.0-Protokoll basiert. Es bietet eine sichere und standardisierte Möglichkeit, Benutzerinformationen von einem Identitätsanbieter zu authentifizieren und zu erhalten, ohne sich mehrmals anmelden zu müssen.
- SAML 2.0 ist ein XML-basierter offener Standard für den Austausch von Authentifizierungs- und Autorisierungsinformationen zwischen Parteien. Es ermöglicht Benutzern, sich einmal bei einem Identitätsanbieter zu authentifizieren, ohne sich erneut authentifizieren zu müssen, um auf verschiedene Anwendungen zuzugreifen.
OpenID Connect mit Azure einrichten
In diesem Abschnitt gehen wir kurz darauf ein, wie Sie Ihren Identitätsanbieter mithilfe der OIDC-Multi-Faktor-Authentifizierung integrieren. Dieses Handbuch ist auf die Verwendung von Azure Active Directory ausgerichtet. Verschiedene Identitätsanbieter können ungewöhnliche Konfigurationen und andere Probleme aufweisen.
- Wir empfehlen Ihnen, einen der vollständig unterstützten und getesteten Anbieter zu verwenden: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 und Google Workspace.
- Wenn Sie keinen empfohlenen OIDC-Anbieter verwenden, sind die folgenden Konfigurationen erforderlich.
a) Discovery_document_uri: Der Konfigurations-URI des OpenID Connect-Anbieters, der ein JSON-Dokument zurückgibt, das zum Erstellen nachfolgender Anforderungen an diesen OIDC-Anbieter verwendet wird. Einige Anbieter bezeichnen dies als „bekannte URL“.
b) client_id: Die Client-ID der Anwendung.
c) client_secret: Das Client-Geheimnis der Anwendung.
d) Redirect_uri: Weist den OIDC-Anbieter an, wohin er nach der Authentifizierung umgeleitet werden soll. Dies sollte Ihre Firezone EXTERNAL_URL + /auth/oidc/ sein. /callback/, z. B. https://firezone.example.com/auth/oidc/google/callback/.
e) Antworttyp: Auf Code setzen.
f) Geltungsbereich: OIDC-Bereiche, die Sie von Ihrem OIDC-Anbieter erhalten können. Firezone benötigt mindestens die Bereiche openid und email.
g) Beschriftung: Der Beschriftungstext der Schaltfläche, der auf der Anmeldeseite des Firezone-Portals angezeigt wird.
- Navigieren Sie im Azure-Portal zur Seite „Azure Active Directory“. Wählen Sie im Menü „Verwalten“ den Link „App-Registrierungen“ aus, klicken Sie auf „Neue Registrierung“ und registrieren Sie sich, nachdem Sie Folgendes eingegeben haben:
a) Name: Feuerzone
b) Unterstützte Kontotypen: (nur Standardverzeichnis – Einzelmandant)
c) Umleitungs-URI: Dies sollte Ihre Firezone EXTERNAL_URL + /auth/oidc/ sein. /callback/, z. B. https://firezone.example.com/auth/oidc/azure/callback/.
- Öffnen Sie nach der Registrierung die Detailansicht der Anwendung und kopieren Sie die Anwendungs-(Client-)ID. Dies ist der client_id-Wert.
- Öffnen Sie das Endpunktmenü, um das OpenID Connect-Metadatendokument abzurufen. Dies ist der Wert „discovery_document_uri“.
- Wählen Sie im Menü „Verwalten“ den Link „Zertifikate und Geheimnisse“ aus und erstellen Sie ein neues Client-Geheimnis. Kopieren Sie den geheimen Clientschlüssel. Dies ist der client_secret-Wert.
- Wählen Sie im Menü „Verwalten“ den Link „API-Berechtigungen“ aus, klicken Sie auf „Berechtigung hinzufügen“ und wählen Sie „Microsoft Graph“ aus. Fügen Sie E-Mail, OpenID, Offline_Access und Profil zu den erforderlichen Berechtigungen hinzu.
- Navigieren Sie zur Seite /settings/security im Admin-Portal, klicken Sie auf „OpenID Connect-Anbieter hinzufügen“ und geben Sie die Details ein, die Sie in den obigen Schritten erhalten haben.
- Aktivieren oder deaktivieren Sie die Option „Benutzer automatisch erstellen“, um bei der Anmeldung über diesen Authentifizierungsmechanismus automatisch einen nicht privilegierten Benutzer zu erstellen.
Glückwunsch! Auf Ihrer Anmeldeseite sollte die Schaltfläche „Mit Azure anmelden“ angezeigt werden.
Zusammenfassung
HailBytes VPN bietet eine Vielzahl von Authentifizierungsmethoden, darunter Multi-Faktor-Authentifizierung, OpenID Connect und SAML 2.0. Durch die im Artikel gezeigte Integration von OpenID Connect mit Azure Active Directory können Ihre Mitarbeiter bequem und sicher auf Ihre Ressourcen in der Cloud oder AWS zugreifen.
