Руководство по настройке SSL-VPN F5 BIG-IP для единого входа Microsoft Entra
В этом руководстве описано, как интегрировать виртуальную частную сеть на основе F5 BIG-IP с идентификатором Microsoft Entra ID для безопасного гибридного доступа (SHA).
Включение SSL-VPN BIG-IP для единого входа (SSO) Microsoft Entra обеспечивает множество преимуществ, в том числе:
- Управление нулевым доверием с помощью предварительной проверки подлинности Microsoft Entra и условного доступа.
- Аутентификация без пароля для VPN-службы
- Управление удостоверениями и доступом из одной плоскости управления, Центр администрирования Microsoft Entra
Дополнительные сведения о преимуществах см. в статье
Единый вход в идентификаторе Microsoft Entra
Примечание.
Классические виртуальные сети остаются ориентированными на сеть, часто предоставляя мало точного доступа к корпоративным приложениям. Мы поощряем более ориентированный на идентификацию подход к достижению нулевого доверия. Дополнительные сведения: пять шагов по интеграции всех приложений с идентификатором Microsoft Entra.
Описание сценария
В этом сценарии экземпляр диспетчера политик доступа BIG-IP (APM) службы SSL-VPN настраивается как поставщик службы разметки утверждений безопасности (SAML) и идентификатор Microsoft Entra id является доверенным поставщиком удостоверений SAML (IdP). Единый вход (SSO) из Идентификатора Microsoft Entra осуществляется через проверку подлинности на основе утверждений в APM BIG-IP, простой интерфейс доступа к виртуальной частной сети (VPN).
Примечание.
Замените примеры строк или значений в этом руководстве этими строками в вашей среде.
Необходимые компоненты
Предыдущий опыт или знание F5 BIG-IP не требуется, однако вам потребуется:
- Подписка Microsoft Entra
- Если у вас ее нет, получите бесплатную учетную запись Azure.
- Удостоверения пользователей , синхронизированные из локального каталога с идентификатором Microsoft Entra
- Одна из следующих ролей: администратор облачных приложений или администратор приложений
- Инфраструктура BIG-IP с маршрутизацией трафика клиента в BIG-IP и из нее
- Запись для опубликованной VPN-службы BIG-IP на сервере доменных имен (DNS)
- Или тестовый файл localhost клиента во время тестирования
- BIG-IP, подготовленный с необходимыми SSL-сертификатами для служб публикации по протоколу HTTPS
Чтобы улучшить работу с учебниками, вы можете узнать терминологию уровня "Стандартный" в Глоссарии F5 BIG-IP.
Добавление F5 BIG-IP из коллекции Microsoft Entra
Настройте доверие федерации SAML между BIG-IP, чтобы разрешить Microsoft Entra BIG-IP передавать предварительную проверку подлинности и условный доступ к идентификатору Microsoft Entra, прежде чем предоставить доступ к опубликованной VPN-службе.
- Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.
- Перейдите к приложениям Identity>Applications>Enterprise All,> а затем выберите "Создать приложение".
- В коллекции найдите F5 и выберите F5 BIG-IP APM Microsoft Entra ID integration.
- Введите имя приложения.
- Нажмите кнопку "Добавить" и "Создать".
- Имя, как значок, отображается на портале администрирования Microsoft Entra и Office 365.
Настройка единого входа Microsoft Entra
С помощью свойств приложения F5 перейдите к разделу "Управление>единым входом".
На странице Выбрать метод единого входа выберите SAML.
Нажмите кнопку "Нет", я сохраните позже.
В меню "Настройка единого входа" в меню SAML выберите значок пера для базовой конфигурации SAML.
Замените URL-адрес идентификатора URL-адресом опубликованной службы BIG-IP. Например,
https://ssl-vpn.contoso.com.Замените URL-адрес ответа и путь конечной точки SAML. Например,
https://ssl-vpn.contoso.com/saml/sp/profile/post/acs.Примечание.
В этой конфигурации приложение работает в режиме, инициированном поставщиком удостоверений: Идентификатор Microsoft Entra выдает утверждение SAML перед перенаправлением в службу SAML BIG-IP.
Для приложений, которые не поддерживают режим, инициированный поставщиком удостоверений, для службы SAML BIG-IP укажите URL-адрес входа, например
https://ssl-vpn.contoso.com.В поле URL-адреса выхода введите конечную точку единого выхода BIG-IP APM (SLO), предопределенную заголовком узла опубликованной службы. Например:
https://ssl-vpn.contoso.com/saml/sp/profile/redirect/slrПримечание.
URL-адрес SLO гарантирует завершение сеанса пользователя в BIG-IP и Идентификаторе Microsoft Entra после выхода пользователя. APM BIG-IP имеет возможность завершить все сеансы при вызове URL-адреса приложения. Дополнительные сведения см. в статье "F5" K12056: обзор параметра включения URI выхода.
.
Примечание.
По сравнению с TMOS версии 16 конечная точка единого выхода из системы SAML изменилась на /saml/sp/profile/redirect/slo.
Выберите Сохранить
Пропустите запрос на тестирование единого входа.
В свойствах атрибутов пользователей и утверждений просмотрите сведения.
Вы можете добавить другие утверждения в опубликованную службу BIG-IP. Утверждения, определенные в дополнение к набору по умолчанию, выдаются, если они находятся в идентификаторе Microsoft Entra. Определите роли каталога или членства в группах для пользовательского объекта в идентификаторе Microsoft Entra ID, прежде чем они могут быть выданы в качестве утверждения.
Сертификаты подписывания SAML, созданные идентификатором Microsoft Entra, имеют срок действия трех лет.
Авторизация Microsoft Entra
По умолчанию идентификатор Microsoft Entra выдает маркеры для пользователей с предоставленным доступом к службе.
В представлении конфигурации приложения выберите "Пользователи и группы".
Нажмите кнопку + Добавить пользователя.
В меню "Добавить назначение" выберите "Пользователи и группы".
В диалоговом окне "Пользователи и группы" добавьте группы пользователей, авторизованные для доступа к VPN
Выберите "Назначить>".
Вы можете настроить BIG-IP APM для публикации службы SSL-VPN. Настройте его с соответствующими свойствами, чтобы завершить доверие для предварительной проверки подлинности SAML.
Конфигурация APM BIG-IP
Федерация SAML
Чтобы завершить федерацию VPN-службы с идентификатором Microsoft Entra ID, создайте поставщика услуг SAML BIG-IP и соответствующие объекты ПОСТАВЩИКА удостоверений SAML.
Перейдите к>
Нажмите кнопку создания.
Введите имя и идентификатор сущности, определенный в идентификаторе Microsoft Entra.
Введите полное доменное имя узла (FQDN), чтобы подключиться к приложению.
Примечание.
Если идентификатор сущности не совпадает с именем узла опубликованного URL-адреса, настройте параметры имени субъекта-службы или выполните это действие, если он не задан в формате URL-адреса имени узла. Если идентификатор сущности имеется
urn:ssl-vpn:contosoonline, укажите внешнюю схему и имя узла опубликованного приложения.Прокрутите вниз, чтобы выбрать новый объект SAML SP.
Выберите соединители bind/UnBind IDP.
Выберите "Создать соединитель поставщика удостоверений".
В раскрывающемся меню выберите "Из метаданных"
Перейдите к скачанной XML-файлу метаданных федерации.
Для объекта APM укажите имя поставщика удостоверений, представляющее внешний поставщик удостоверений SAML IdP.
Чтобы выбрать новый внешний соединитель Поставщика удостоверений Microsoft Entra, нажмите кнопку "Добавить новую строку".
Выберите Обновить.
Нажмите ОК.
Конфигурация Webtop
Включите протокол SSL-VPN для пользователей с помощью веб-портала BIG-IP.
Перейдите к >
Нажмите кнопку создания.
Введите имя портала.
Задайте для типа значение Full, например
Contoso_webtop.Выполните оставшиеся настройки.
Щелкните Готово.
Конфигурация VPN
Элементы VPN управляют аспектами общей службы.
Перейдите к> пулам аренды VPN-подключения и>VPN-сети (VPN)>IPV4
Нажмите кнопку создания.
Введите имя пула IP-адресов, выделенного ДЛЯ VPN-клиентов. Например, Contoso_vpn_pool.
Задайте для типа диапазон IP-адресов.
Введите начальный и конечный IP-адрес.
Выберите Добавить.
Щелкните Готово.
Список доступа к сети подготавливает службу с параметрами IP-адресов и DNS из VPN-пула, разрешений маршрутизации пользователей и может запускать приложения.
Перейдите к >спискам доступа к подключению или VPN: сетевой доступ (VPN).>
Нажмите кнопку создания.
Укажите имя списка и заголовка VPN-доступа, например Contoso-VPN.
Щелкните Готово.
На верхней ленте выберите параметры сети.
Для поддерживаемой версии IP-адреса: IPV4.
Для пула аренды IPV4 выберите созданный VPN-пул, например Contoso_vpn_pool
Примечание.
Используйте параметры клиента для принудительного применения ограничений по маршрутизации трафика клиента в установленном VPN.
Щелкните Готово.
Перейдите на вкладку DNS/Hosts .
Для основного сервера имен IPV4: DNS-адрес среды
Для DNS по умолчанию суффикс домена: суффикс домена для этого VPN-подключения. Например, contoso.com.
Примечание.
См. статью F5 о настройке ресурсов доступа к сети для других параметров.
Профиль подключения BIG-IP необходим для настройки параметров типа VPN-клиента, необходимых для поддержки VPN-службы. Например, Windows, OSX и Android.
Перейти к >
Выберите Добавить.
Введите имя профиля.
Задайте для родительского профиля значение /Common/connectivity, например Contoso_VPN_Profile.
Конфигурация профиля доступа
Политика доступа включает службу для проверки подлинности SAML.
Перейдите к >доступа на сеанс)
Нажмите кнопку создания.
Введите имя профиля и тип профиля.
Выберите "Все", например Contoso_network_access.
Прокрутите вниз и добавьте хотя бы один язык в список принятых языков
Щелкните Готово.
В новом профиле доступа в поле "Политика каждого сеанса" нажмите кнопку "Изменить".
Откроется редактор визуальной политики на новой вкладке.
+ Выберите знак.
В меню выберите проверку подлинности>SAML Auth.
Выберите " Добавить элемент".
В конфигурации службы проверки подлинности SAML выберите созданный объект VPN SAML SP
Выберите Сохранить.
Для успешной ветви проверки подлинности SAML выберите + .
На вкладке "Назначение" выберите "Дополнительное назначение ресурсов".
Выберите " Добавить элемент".
Во всплывающем итоге нажмите кнопку "Создать запись"
Нажмите кнопку "Добавить или удалить".
В окне выберите "Сетевой доступ".
Выберите созданный профиль сетевого доступа.
Перейдите на вкладку Webtop .
Добавьте созданный вами объект Webtop.
Выберите Обновить.
Выберите Сохранить.
Чтобы изменить ветвь "Успешно", выберите ссылку в верхнем поле "Запрет ".
Появится метка "Разрешить".
Сохраните.
Выбор "Применить политику доступа"
Закройте вкладку редактора визуальных политик.
Публикация службы VPN
Для APM требуется внешний виртуальный сервер для прослушивания клиентов, подключающихся к VPN.
Выберите >
Нажмите кнопку создания.
Для виртуального vpn-сервера введите имя, например VPN_Listener.
Выберите неиспользуемый IP-адрес назначения с маршрутизацией для получения трафика клиента.
Задайте для порта службы значение 443 HTTPS.
Для состояния убедитесь, что выбран параметр "Включено ".
Задайте для профиля HTTP значение http.
Добавьте профиль SSL (клиент) для созданного общедоступного SSL-сертификата.
Чтобы использовать созданные объекты VPN, в разделе "Политика доступа" задайте профиль доступа и профиль подключения.
Щелкните Готово.
Служба SSL-VPN публикуется и доступна через SHA либо с помощью URL-адреса, либо через порталы приложений Майкрософт.
Следующие шаги
Откройте браузер на удаленном клиенте Windows.
Перейдите по URL-адресу службы VPN BIG-IP.
Появится веб-портал BIG-IP и средство запуска VPN.
Примечание.
Выберите плитку VPN, чтобы установить клиент BIG-IP Edge и установить VPN-подключение, настроенное для SHA. VPN-приложение F5 отображается в качестве целевого ресурса в условном доступе Microsoft Entra. Ознакомьтесь с политиками условного доступа, чтобы разрешить пользователям проверку подлинности без пароля Microsoft Entra ID.