用户从内部LAN断开连接并直接连接到Internet时的ADFS/DNS问题

Question

我们的ADFS设置有一个奇怪的问题，但我不明白为什么会发生这种情况。

ADFS用于连接到由云提供商托管的Sharepoint。他们的域名称为cloudsp.eu。我们的内部域名称为"hobnobs.internal.eu“

我们有一个带有公共DNS记录"login.cloudsp.eu“的网络代理。WAP将发布的网络应用程序配置为，外部和内部URL配置为https://login.cloudsp.eu。

内部ADFS联合身份验证服务名称为login.cloudsp.eu

它还有一个用于login.cloudsp.eu的主机条目文件，该文件指向我们的内部ADFS服务器，以便它可以解析该名称。

然后，我们的内部DNS还具有一个名为login.cloudsp.eu的空DNS区域，配置为解析到内部ADFS服务器，这样内部网络上的客户端就不会解析到WAP。

现在，这一切都运行得很好。内部客户端无需通过WAP即可获得SSO，外部客户端访问WAP，然后被重定向至云提供商的ADFS，在那里它们必须使用Sharepoint凭据进行身份验证。

问题是:-

内部客户端通过SSO连接到ADFS并进行身份验证。然后，它们断开连接并直接连接到Internet。当他们再次启动浏览器时，他们会立即获得内部ADFS服务器的ADFS登录(理论上，他们永远不会看到它)。似乎正在发生的情况是，它们击中了WAP，WAP将请求转发到内部ADFS服务器，该服务器显示内部ADFS服务器的登录屏幕

只有在这个特定的场景中才会发生这种情况(即已经通过SSO连接)，清除浏览器的缓存可以解决这个问题。因此，我假设ADFS在某个地方存储了某种cookie或其他令牌，并且浏览器在尝试身份验证时会重用这些cookie或其他令牌？

仅供参考- KMSI和PersistentSSO都被禁用。

Answer 1

可能发生的情况是，ADFS有一个cookie，它会记住HRD选择，并在随后的尝试中绕过此检查。

默认情况下，此cookie的有效期为30天。您可以将其关闭或延长时间。

例如，Set-AdfsWebConfig -HRDCookieLifetime 90