Keycloak + 1C ради 2FA OpenID. Какие принципы развёртывания?

Denis Melnikov, Отпишитесь пожалуйста в этой теме если найдёте рабочую версию платформы. Мы тоже обновимся и не будем трогать

Keycloak + 1C ради 2FA OpenID. Какие принципы развёртывания?

Denis Melnikov, в браузере поведение такое же как у меня?

1С морда ----> KC форма -------> 1С морда и не идёт никуда

Открываем новую вкладку - всё работает и колосится.

Keycloak + 1C ради 2FA OpenID. Какие принципы развёртывания?

Мысли есть?

Keycloak + 1C ради 2FA OpenID. Какие принципы развёртывания?

Сделал KC отдельно key.olips.ru у него свой серт

Потом отдельно 1C 1c.olips.ru у него тоже свой серт

Перед ними находится nginx reverse proxy c wildcard сертом *.olips.ru

Авторизация использую Authorization Code Flow.

Есть неприятные баги вот тут у челикслава похожее - https://habr.com/ru/articles/895294/

В конце статьи и ещё один челикслав в комментах пишет.

У меня также. Тонкий клиент белое окно, если туда сюда переключить - появляется форма KC. Я ввожу данные и бесконечно крутятся точки.

В браузере почти работает.

Захожу на 1c.olips.ru
Меня редиректит на KC
ввожу данные
Кидает обратно в 1c.olips.ru

И всё хоть 100 раз нажимай вход. Редиректы идут и обратно возвращается на 1c.olips.ru
НО! Если открыть новую вкладку всё идеально работает.

Без разницы удалённо или внутри локалки поведение одинаковое. Проблема не в nginx reverse proxy.

Я подозреваю что баг в платформе 8.3.26.1521

От поддержки 1С ответа нет.

П. С. мне ваще кажется что данный функционал у них на уровне beta или дальше alpha

А зачем вообще покупать SSL-сертификат для сайта у GlobalSign/Comodo/etc, если можно подписать самому?

Site Developer, 99% как раз и не пофиг! 1 раз в 3 года оплачиваешь и деплоишь на все сервисы. В том числе и на те где не надо бросать 80 порт и которые в принципе не должны смотреть в открытый мир но внутри локалки будет https что хорошо.

С let's encrypt не все так просто, нужно думать об автоматизации. Тот же wildcard не у каждого днс Хостера можно автоматизировать.

П. С. Сам щас задумываюсь о покупке global sign на 3 года. 1 раз задеплоил везде и сиди кури

А зачем вообще покупать SSL-сертификат для сайта у GlobalSign/Comodo/etc, если можно подписать самому?

Роман Франк, есть продержка

Какая есть альтернатива zerotier?

Drno, точно! в мту скорее и есть проблема!

А на облачном я как понял никак не обойти. Надо своё поднимать

Какая есть альтернатива zerotier?

Drno, в прод я бы такое вряд ли пустил конечно, но для себя побаловаться вполне...

Какая есть альтернатива zerotier?

Drno, не так то решение интересное! Поднять network controller в docker на raspberry pi4 дома

Потом ещё поднять VPSку с контроллер Zerotier и + ещё использовать облачный на подстраховку.

Будет своя личная сеть L2/L3 поверх интернета без всяких проблем.

Звучит очень интересно. Весьма весьма

Zerotier - не безопасно и есть утечка данных?

Drno, вот это ценная инфа! Благодарочка.

Потому что конфигами с нуля у меня желания было 0. не реально это всё админить в проде без GUI вменяемого

Какая есть альтернатива zerotier?

Drno, у меня с симки yota не работает ни WG ни OpenVPN ни PPTP ни Ipsec за рубеж

Внутри страны всё работает.

Zerotier кстати с симки тоже не пашет. Коннект есть пингов нет

Какая есть альтернатива zerotier?

Daemon23RUS, за пределы тебе не разрешат. Либо нужно обосновывать зачем.

Физику точно не разрешат

Какая есть альтернатива zerotier?

Drno, яж говорю если провайдер не гумно.

У меня Миралоджик оптический гигабит и ничё не банится.

У коллег дома росговноком - у них не работают UDP 4500 и 500. Но это вопросы не к РКН вообще а к говнопровайдерам.

ССЗБ как грится

Какая есть альтернатива zerotier?

Drno, по РФии не блокируется. ничего, даже PPTP с GRE. А за рубеж с симок да

SSTP пока ещё живёт

Если только првоайдер не тупой долбан, но тут уже вина провайдера

Zerotier - не безопасно и есть утечка данных?

Drno, Дак чё получается Zerotier это по-существу примерно тоже самое что и hamachi только круче?

Основная то цель как я понял связи l2 по воздуху по типу EoIP только круче.

Вопрос, можешь гайды скинуть где почитать от и то как с нуля свой развернуть?

П. С. А GUI решения есть? чтоб поставить а потом в веб-морде настраивать. Потому что с конфигами ты очешуеешь рулиться если у тебя 1000 клиентов

Zerotier - не безопасно и есть утечка данных?

AntHTML, DevZan, для этого давно изобретён vless который при грамотной маскировке под какой-нибудь nextcloud невозможно обнаружить никак.

так как сам vless это ещё и обратный прокси.

скорость самая высокая, я выше не встречал на VPSках а попробовал я очень много протоколов

PPTP,SSTP,IKEv2,L2TP\Ipsec,WG,OVPN....

Shadow cocks...и другие

Xray 3X-ui протокол wireguard, как правильно настроить?

MTU поставьте 1360-1400

При 1420 с компа не работало

Почему несколько L2TP IPsec клиентов с одного IP за NAT отваливаются на Mikrotik?

Юрий MikroTik, а чё там искать? fqdn:нужный порт

Я на 8443 перенастроил и без проблем вообще.

accel-ppp настроил BRAS как VPN сервер (погугли)

супер гибкий провайдерская игрушка.

То есть подключение пользаку настраиваешь и пишешь ему через : нестандартный порт. Всё

SSTP робит на 8443 например

Почему несколько L2TP IPsec клиентов с одного IP за NAT отваливаются на Mikrotik?

Юрий MikroTik, Юрец ты мне лучше вот что скажи пожалуйста.

У микротов новинки какие-то планируются? В Hi-End?

Есть игрушка за 350к CCR2216-1G-12XS-2XQ

Да крутая да мощная но её 3 года уже.

ЩАс купим и сядем на бутылку. Когда через месяц выйдет какой-нить CCR3216

Не слышно нет? Где можно это отслеживать?

Почему несколько L2TP IPsec клиентов с одного IP за NAT отваливаются на Mikrotik?

Юрий MikroTik, и не "под видом https", а TLS over TCP. SSTP ему срать на заголовки 7 уровня.

Он на 4 уровне соси работает, и прекрасно кстати палится (не только поэтому).

Но он как ты и сказал для другого для корпоратов и ради 443 порта. Но вот проблема с белый айпи. Иначе он теряет смысл.

П. С. кстати DPI его ПРЕКРАСНО определяет ))