Salesforce блочит пользователей которые используют VPN?

Нашел обсуждение на reddit

https://www.reddit.com/r/salesforce/comments/1t5obc5/highrisk_ip_vpn_security_enforcement_user_access/

Оказывается у многих с этим проблема. Пользователи блокируются массово по неожиданным причинам :surprised: 

[quote="Dmitry Shnyrev"]Но вот вопросы:
- Блокируются только обычные пользователи? Или админы тоже?
- Это для всех оргов или только для прода
- Можно ли как-то это отключить для опрелеленных пользователей, которым VPN нужен?

Может ли так случиться, что работаешь с VPN, забыл выключить и пошел в SF. А тебя заблочили. ХМ?[/quote]

[b]Блокируются только обычные пользователи или админы тоже?[/b]
Блокируются все, включая пользователей integration user и (соответственно) администраторы. Kомпрометация админа несет гораздо больше рисков.
меры: Freeze user  и revoke всех OAuth-токенов.

[b]Это для всех оргов или только для прода[/b]
По важности конечно в это касается Production.
Но в Sandbox, блокировка может произойти тоже. я думаю что Salesforce мониторит подозрительную активность на уровне своей инфраструктуры, а не конкретного типа инстанса.

[b]Можно ли как-то это отключить для опрелеленных пользователей, которым VPN нужен?[/b]
Врядли. можно добавить Trusted IP Ranges или Login IP Ranges (на уровне конкретного Profile).
Relax IP Restrictions в connected app.

Может ли так случиться, что работаешь с VPN, забыл выключить и пошел в SF. А тебя заблочили. ХМ?
:rolling::so-sad:   UNFreeze

[quote="Eric"]Может ли так случиться, что работаешь с VPN, забыл выключить и пошел в SF. А тебя заблочили. ХМ?
  UNFreeze[/quote]
А как ты себя UNFreeze если ты один админ на орге (сандбоксе). Придется заводить еще одного админа "на всякий пожарный"? А на проде если тебя заблочит - придется просить клиента чтобы он тебя UNFreeze? Как-то стремно звучит, не каждый клиент поймет. 

[quote="Dmitry Shnyrev"]если ты один админ на орге (сандбоксе).[/quote]
Один админ на орге - это рискованно в любом случае. :so-sad:
возможно salesforce support может помочь.


другая опция это  Delegated Admin with permissions to manage users, лучше проверить.

[quote="Eric"]Один админ на орге - это рискованно в любом случае. 
возможно salesforce support может помочь.[/quote]
Не, я не так выразился :smiley:. Лицензии есть. Просто у меня на сандбоксе я один работаю. Если меня SF блочит (буду так называть Freeze, а то язык сломаешь), то никто не поможет. Нужно просто иметь в запасе еще одного активного админа на сандбоксе для этого случая.

На проде просто придется кого-то просить, но это не солидно если ты там самый прошаренный и все к тебе обращаюься по любому поводу :rolling:

Ну вывод такой. Не сидеть под VPN когда работаешь. Это сложновато в эпоху вайбкодинга из некоторых стран. Ну и надеяться что VPN который ты используешь не засветится в High-Risk IP Addresses. Все-таки мой vpn не самый популярный и думаю не знакомый SF. Ну и надеюсь что SF банит просто по списку IP адресов который у них есть, а не занимается анализом чего-то там в попытках словить тебя за эту штуку из трех букв :rolling::rolling::rolling: (хотя!?).

А прикинь ситуацию :surprised: SF банит доступ из стран под санкциями вынуждая разрабов сидеть под VPN, а потом начинает блочить всех кто использует VPN. :surprised::surprised::surprised:

[quote="Dmitry Shnyrev"][quote="Eric"]Один админ на орге - это рискованно в любом случае. 
возможно salesforce support может помочь.[/quote]
Не, я не так выразился :smiley:. Лицензии есть. Просто у меня на сандбоксе я один работаю. Если меня SF блочит (буду так называть Freeze, а то язык сломаешь), то никто не поможет. Нужно просто иметь в запасе еще одного активного админа на сандбоксе для этого случая.

На проде просто придется кого-то просить, но это не солидно если ты там самый прошаренный и все к тебе обращаюься по любому поводу :rolling:[/quote]

Ну можно использовать Pseudo VPN на основе самого Sf

[quote="wilder"]Ну можно использовать Pseudo VPN на основе самого Sf[/quote]
Это ты про что? Как получить доступ на орг если тебя заблокировали? или про что-то другое?

[quote="Dmitry Shnyrev"]Сегодня на почту пришло любопытное письмо.[/quote]
Кстати, по ходу это будет веселая фича!
Начали приходить письма что уже заблокировали еще несколько пользователей.
У клиента большое количество портальных (Platform User) пользователей, поторые используют небольшую, но важную часть функционала реализованную на базе SF. И вот им как-то пофигу на это новое требование SF. Они я думаю используют VPN для каких то своих более глобальных целей. А SF решило их блокировать. Ну и что теперь делать? Сидеть и ловить все письма про то что челов блочат и разблокировать их? Что за бред! 

[quote="Dmitry Shnyrev"]И вот им как-то пофигу на это новое требование SF[/quote]
Пообщался с клиентом. Он сказал что все заблокированные пользователи сидят на служебных ноутах одного подрядчика которые использует свой внутренний VPN. Может в этом причина? Но как доказать и кому жаловаться?

Вот это поворот!)

[quote="Dmitry Shnyrev"]все заблокированные пользователи сидят на служебных ноутах одного подрядчика которые использует свой внутренний VPN. Может в этом причина? Но как доказать и кому жаловаться?[/quote]

почти "кто виноват и что делать". :rolling:

 скорей всего Trusted IP Ranges или открывать support case.

на этом изменения не заканчиваются :so-sad:, есть ещё пару:

Prepare for Phishing-Resistant MFA Enforcement for Privileged Users including [b]Admins[/b]
https://help.salesforce.com/s/articleView?id=005321563&type=1

[quote="Eric"]Phishing-Resistant MFA[/quote]
Ну это еще веселее.

Я так толком и не понял что это за методы такие. Я использую MFA черех Google Authenticator (или Authy). И я так понимаю что этого будет недостаточно. Надо мутить какие-то Security Keys, Built-in Authenticators. Не сталкивался ни разу. Кто уже пробовал/использует расскажите какой способ проще и надежнее.

Попробовал добавить Security Key (U2F or WebAuthn) в настройках User. Вроде проканало и даже работает. Только хз как оно работает. Регистрировал через телефон и создал passkey который сохранился в Google Password Manager. Но когда логинишься в браузере и тебя просит верифицироваться, то по дефолту просто просит на маке отпечаток пальца и все! Если выбрать "использовать другой способ" то там можно выбрать Google Password Manager и пройти верификацию через телефон. То есть оно работает, но почему привязался отпечаток пальца на маке я хз. Ну это даже лучше, можно логиниться с помощью двух девайсов. 

Кстати прикольная эта фича с Touch ID на маке. 
Не надо лезть в Google Authenticator чтобы найти и ввести 6 код. Всегда это бесит когда включен MFA на разных сервисах. 
А так просто палец приложил к сенсору прям тут же на маке и все! Зашел. Кайф :party: Надо этому способу логиниться уделить больше внимания.

[quote="Dmitry Shnyrev"]Кстати прикольная эта фича с Touch ID на маке. 
Не надо лезть в Google Authenticator чтобы найти и ввести 6 код. Всегда это бесит когда включен MFA на разных сервисах. 
А так просто палец приложил к сенсору прям тут же на маке и все! Зашел. Кайф :party: Надо этому способу логиниться уделить больше внимания.[/quote]

Интересненнько...у меня не мак, но тоже TouchId(Windows hello) присутствует. Нужно будет поиграться. Пасибки за инфу

Ну началось! Сегодня не смог сохранить изменения в IC2 :sad:
Invalid Session ID found in SessionHeader: Illegal Session

Хотя sf force:org:list показывает что Status:Connected и вчера все работало

[quote="Dmitry Shnyrev"]Сегодня не смог сохранить изменения в IC2 [/quote]
Нихера не помогает. Все обновил до последней версии, создал новый connection. sf cli опять показывает что все ок. IC2 нифига не сохраняет. Нет доступа на орг. На огр в браузере захожу без проблем.

Ну это уже просто издевательство. Все обновил, перелогинился в IC2. Теперь каждый раз как открываю проект IC2 просто зависает намертво. Только Force Quit помогает. Да что за херня творится???

По ходу все дело в IC2. Создал пустой проект в VSC, выбрал коннекшен который только что создал. Подтянул LWC компонент, внес изменения и все сохранилось на орг. Ну это хотя бы радует. По ходу последние обновы на IC2 с багом.

А вот собственно и причина. IC2 выкатили новое обновление

Salesforce CLI issue 3560 - IMPORTANT: The Salesforce CLI is in the process of implementing a set of security mitigation changes, some of them with breaking behavior. Starting with this build, IC accommodates for the changes around how connection access tokens are made available via CLI commands. For pre-2.136.8 CLI versions, IC will use continue to the org list and org display commands to get CLI-based connection access tokens; for 2.136.8+ CLI versions, IC will use the org auth show-access-token command. IC automatically determines the installed CLI version and, for efficiency, caches that value aggressively, though it should be resilient to CLI upgrades/downgrades while running.

[quote="Dmitry Shnyrev"]IC2 выкатили новое обновление[/quote]
Заработало :party:

[quote="Dmitry Shnyrev"]To remediate this potential security issue, we froze the user [/quote]
Нет новостей? У нас уже прям проблема с этим. Каждый день + выходные приходится разгребать тонну писем и разблокировать пользователей. Клиент общается с сапортом но пока получает только отписки аля это новая security фича и мы заботимся о вашей безопасности. Даже одному админу на проде прилетел бан :sad: Как-то стремно становится работать с Salesforce.

Вот кстати статья свежая в подтверждение. Из решение только "иметь запасного админа". Ну это не серьезно!
https://www.salesforceben.com/salesforce-security-changes-cause-chaos-for-solo-admins/

Это не связано с VPN, но связано с последним обновление системы безопасности и тем что пользователи должны настроить у себя MFA. :so-sad: У нас на проекте достаточно много Platform Users и они используют небольшую часть функционала. Но вход для них подчиняется новым Правилам Salesforce. Это просто боль. Я каждый день начинаю и трачу пол дня разруливая запросы по типу "я не могу залогиниться". И каждый запрос это просто борьба - попытка через девушку менеджера объяснить почему не работает и как это исправить. И естественно конечный пользователь через третьи руки понимает все не так и там нихрена не работает. Кто должен разруливать когда что-то не работает с Salesforce? :sad: Риторический вопрос. 
Кстати тут и камень в сам Salesforce. Вот есть у User такая опция "Temporary Verification Code (Expires in 1 to 24 Hours) [Generate]". Нажимаешь и тебя перекидывает на страницу Identity Verification. Такая же как при входе, та же MFA. НО она нихрена не работает. Пишет что There are no built-in authenticators available to this browser ХОТЯ когда просто логинишься все работает. Явно какой-то косяк с кастомным доменным именем, потому что там куча всяких редиректов и в итоге фиг. Надеюсь починят.
Но с MFA и пользователями это просто жесть. :so-sad::so-sad::so-sad:

[quote="Dmitry Shnyrev"]проекте достаточно много Platform Users и[/quote]
как они логиниться?
SSO мог бы облегчить жизнь. MFA делаеться на стороне IDP.


https://help.salesforce.com/s/articleView?id=000386089&type=1

[quote="Eric"]
как они логиниться?
SSO мог бы облегчить жизнь. MFA делаеться на стороне IDP.


https://help.salesforce.com/s/articleView?id=000386089&type=1
[/quote]

Логинятся как обычные пользователи Salesforce через username + password. Но вот теперь MFA стал обязательным, а это для многих почему-то оказалось непосильной задачей.

И спасибо за ссылку. Для меня открытие что
[b]Keep in mind that the mobile device time must always match the computer time and the official time, www.time.gov , otherwise, an invalid token error will be generated.[/b]
Возможно и в этом не редко кроется проблема. Чел скидывает скрины что него Authenticator app зареган, код генерится, но он его вводит и нифига не работает. А потом резко начинает работать. Мистика.

[b]Manage Multi factor Authentication in User Interface” permission[/b]
Вот это тоже интересно. Даже не задумывался что кто-то кроме админов может генерить временные коды. Надо будет менеджерам назначить и просить их заниматься этим, а не редиректить каждый запрос на меня.

Но все равно проблема с генерацией кода (описал выше) все еще актуальная. Пару раз как-то получилось выйти на экран со сгенерированным кодом, но в 99% попыток меня экран верификации не пропускает, хотя тут же если входить через login все отрабатывает.

PS для SSO и IDP у нас нет других сервисов для организации стороннего входа. По крайней мере меня в этом не посвящают :smiley:

Еще один странный момент!

Если у пользователя зареган один из способов MFA то на странице пользователя будет отмечено что подключен один из этих способов

App Registration: One-Time Password Authenticator
App Registration: Salesforce Authenticator
Security Key (U2F or WebAuthn)

Вот мой пользователь
[img]https://i.ibb.co/whr68sF1/image.png[/img]
Видно что у меня подключен Google Authenticator, Passkey (Security Key).
Вхожу через passkey что видно в Login History (Passwordless Login via Passkeys)

А вот один из менеджеров (Salesforce License)
[img]https://i.ibb.co/3mHVJTjK/image.png[/img]
У него нифига нет. Пусто. Ни Connect/Disconnect/Enroll/Remove
Но он тоже спокойно входит через Passkey
[img]https://i.ibb.co/spcPmgMP/image.png[/img]

Что за мистика.

И вот у многих у кого проблемы со входом такую фигню замечаю. У некоторых видно [Disconnect] Authenticator App. Я могу сбросить и чел сново зарегает себе App. А у некоторых вот такая фигня. Причем странно, но через какое-то время менеджеры отписывают что у них все ок. То есть решается как-то без меня.

Нашел различие на странице моего User и менеджера.

У менеджера есть секция "Built-in Authenticators" и там в секции "Built-In Authenticator #1 2026-08-11T13:13:01Z"

У меня такой секции вообще нет. :surprised:

Надо покопать глубже

Короче звиздец какой-то.

Это связано с регистрацией Phishing-Resistant Methods. Тем что заставили регистрировать админов и прочих пользователей с высоким уровнем доступа.

По ходу есть несколько способов :surprised:

Я когда регал то кликал на [Enroll] ссылку возле "Security Key (U2F or WebAuthn)". Зарегал через Google Passkey что каким-то образом автоматом привязало мой TouchID на маке (хз как работает, но работает).

Пользователи по ходу делают это каким-то другим магическим и неизвестным мне способом который вместо Security Key (U2F or WebAuthn) привязывает их к Built-in Authenticators. А это уже другое.

Сейчас буду курить чем Security Key (U2F or WebAuthn) отличается от Built-in Authenticators для Phishing-Resistant Methods
 

Поспрашивал разные иишки. Все выдали примерно одно и то же

[b]Security Key (U2F or WebAuthn)[/b]
[u]What it is:[/u] A separate, physical hardware token that the user carries with them (e.g., a YubiKey, Google Titan key, or Kensington key).
[u]How it works:[/u] The user plugs the key into their computer’s USB port (or taps it via NFC/Bluetooth) and physically touches the gold/silver button on the key to verify their identity.

[b]Built-in Authenticator[/b]
[u]What it is:[/u] The native security hardware already built into the user's computer or mobile device.
[u]How it works:[/u] It uses the device’s local biometric sensors or a local PIN. For Mac users, this is Touch ID or Face ID. For Windows users, this is Windows Hello (fingerprint reader or facial recognition).

В общем разница понятно, но конкретно мой случай меня больше запутал :rolling:
По логике для моего "Security Key (U2F or WebAuthn)" у меня должно быть "physical hardware" устройство. А у меня ничего такого нет. Я просто сканировал QR код телефоном и у меня появился Passkey в Google Password Manager. Дальше только предположение - я залогинен в Хроме на тот же Google акк поэтому мой passkey доступен в Хроме. Через TouchID (отпечаток) я подтверждаю что я это я и Хром связывает это с Passkey привязанными к моему гугл акку. Не знаю правильно это работает или нет, но удобно так как я могу пройти проверку как с помощью TouchID отпечатком, но так же могу выбрать в окне "другой способ" и пройти идентификацию через телефон.

А как вы регистрировали свой Phishing-Resistant Methods?

У меня мини pc и док станция. В док станции есть touchId. Когда винда видит что есть сенсор то в sf по умолчанию работает touchId,  а когда я работаю без док станции винда запрашивает pin для SF

[quote="Dmitry Shnyrev"]но конкретно мой случай меня больше запутал [/quote]
Все! Разобрался. 
Так и есть. Мой Passkey в Google Password Manager и есть своего рода hardware device. В хроме он сам и запускается и просто юзает TouchID для подтверждения личности.
Я открыл Safari и Google Password Manager + TouchID уже не выдало. Но выдало QR код который я сканировал через телефон, а телефон уже подрубился к маку по Bluetooth и выдал себя за хардварный ключ.

[quote="wilder"]У меня мини pc и док станция. В док станции есть touchId. Когда винда видит что есть сенсор то в sf по умолчанию работает touchId,  а когда я работаю без док станции винда запрашивает pin для SF[/quote]
А у тебя работает [b]Temporary Verification Code (Expires in 1 to 24 Hours)[/b] [Generate] ?
Задолбался, не могу заставить работать. MFA редиректит на логин и все, просто вход. Пробовал на сандбоксе - никаких проблем - сразу выдает окно для генерации временного кода. 

[quote="Dmitry Shnyrev"][quote="wilder"]У меня мини pc и док станция. В док станции есть touchId. Когда винда видит что есть сенсор то в sf по умолчанию работает touchId,  а когда я работаю без док станции винда запрашивает pin для SF[/quote]
А у тебя работает [b]Temporary Verification Code (Expires in 1 to 24 Hours)[/b] [Generate] ?
Задолбался, не могу заставить работать. MFA редиректит на логин и все, просто вход. Пробовал на сандбоксе - никаких проблем - сразу выдает окно для генерации временного кода. [/quote]

Да работает