Como configurar a autenticação Hailbytes VPN
Introdução
Agora que você configurou e configurou o HailBytes VPN, pode começar a explorar alguns dos recursos de segurança que o HailBytes tem a oferecer. Você pode verificar nosso blog para obter instruções de configuração e recursos para a VPN. Neste artigo, abordaremos os métodos de autenticação suportados pelo HailBytes VPN e como adicionar um método de autenticação.
Visão geral
HailBytes VPN oferece vários métodos de autenticação além da autenticação local tradicional. Para reduzir os riscos de segurança, recomendamos desabilitar as autenticações locais. Em vez disso, recomendamos a autenticação multifator (MFA), OpenID Connect ou SAML 2.0.
- O MFA adiciona uma camada adicional de segurança à autenticação local. O HailBytes VPN inclui versões integradas locais e suporte para MFA externo para muitos provedores de identidade populares como Okta, Azure AD e Onelogin.
- OpenID Connect é uma camada de identidade construída no protocolo OAuth 2.0. Ele fornece uma maneira segura e padronizada de autenticar e obter informações do usuário de um provedor de identidade sem precisar fazer login várias vezes.
- SAML 2.0 é um padrão aberto baseado em XML para troca de informações de autenticação e autorização entre as partes. Ele permite que os usuários se autentiquem uma vez com um provedor de identidade sem precisar se autenticar novamente para acessar diferentes aplicativos.
OpenID Connect com configuração do Azure
Nesta seção, abordaremos brevemente como integrar seu provedor de identidade usando a autenticação multifator OIDC. Este guia é voltado para o uso do Azure Active Directory. Diferentes provedores de identidade podem ter configurações incomuns e outros problemas.
- Recomendamos que você use um dos provedores totalmente suportados e testados: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 e Google Workspace.
- Se você não estiver usando um provedor OIDC recomendado, as configurações a seguir serão necessárias.
a) discovery_document_uri: O URI de configuração do provedor OpenID Connect que retorna um documento JSON usado para construir solicitações subsequentes para esse provedor OIDC. Alguns provedores se referem a isso como “URL conhecida”.
b) client_id: O ID do cliente do aplicativo.
c) client_secret: O segredo do cliente do aplicativo.
d) redirect_uri: Instrui o provedor OIDC para onde redirecionar após a autenticação. Este deve ser o seu Firezone EXTERNAL_URL + /auth/oidc/ /callback/, por exemplo https://firezone.example.com/auth/oidc/google/callback/.
e) response_type: Definido como código.
f) escopo: escopos OIDC para obter de seu provedor OIDC. No mínimo, o Firezone requer os escopos openid e email.
g) label: O texto do label do botão exibido na página de login do portal Firezone.
- Navegue até a página do Azure Active Directory no portal do Azure. Selecione o link Registros de aplicativos no menu Gerenciar, clique em Novo registro e registre-se depois de inserir o seguinte:
a) Nome: Firezone
b) Tipos de conta com suporte: (somente Diretório padrão – inquilino único)
c) URI de redirecionamento: deve ser seu Firezone EXTERNAL_URL + /auth/oidc/ /callback/, por exemplo https://firezone.example.com/auth/oidc/azure/callback/.
- Após o registro, abra a visualização de detalhes do aplicativo e copie o ID do aplicativo (cliente). Este será o valor client_id.
- Abra o menu endpoints para recuperar o documento de metadados OpenID Connect. Este será o valor discovery_document_uri.
- Selecione o link Certificados e segredos no menu Gerenciar e crie um novo segredo do cliente. Copie o segredo do cliente. Este será o valor client_secret.
- Selecione o link de permissões de API no menu Gerenciar, clique em Adicionar uma permissão e selecione Microsoft Graph. Adicione e-mail, openid, offline_access e perfil às permissões necessárias.
- Navegue até a página /configurações/segurança no portal de administração, clique em "Adicionar provedor OpenID Connect" e insira os detalhes obtidos nas etapas acima.
- Ative ou desative a opção Criar usuários automaticamente para criar automaticamente um usuário sem privilégios ao entrar por meio desse mecanismo de autenticação.
Parabéns! Você deve ver um botão Entrar com o Azure em sua página de entrada.
Conclusão
HailBytes VPN oferece uma variedade de métodos de autenticação, incluindo autenticação multifator, OpenID Connect e SAML 2.0. Ao integrar o OpenID Connect com o Azure Active Directory, conforme demonstrado no artigo, sua força de trabalho pode acessar seus recursos de maneira conveniente e segura na nuvem ou na AWS.
