AWS Client VPN: تسجيل الدخول ناجح لكن الشبكة الفرعية غير قابلة للوصول

يقول عميلك Connected، والشهادة صالحة، وصفحة الإنترانت ما زالت تنتهي بمهلة. تلك الفجوة ليست مصادقة تقريبًا في أي حال. يفوّض AWS Client VPN الوجهات بشكل منفصل عن تسجيل الدخول، والسببان المعتادان هما قيمة مجموعة لا تطابق ما أرسله مزوّد الهوية، وقاعدة وجهة أكثر تحديدًا تتغلب على القاعدة العريضة. كلاهما ظاهر في إعداد نقطة النهاية متى عرفت أين تنظر.

نجح تسجيل الدخول؛ لكن القاعدة لم تطابق

المصادقة تجيب عن سؤال من هو المستخدم. قواعد التفويض تجيب عن بادئات الشبكات التي يجوز لهذه الهوية الوصول إليها. يمكن للمستخدم أن ينجح في الأولى ويفشل في الثانية، ولا يمنحك العميل أكثر من اتصال يبقى قائمًا بينما تنتهي كل الطلبات بمهلة.

ابدأ بالتأكد من أن نقطة النهاية لديها قاعدة تفويض تحتوي وجهتها على العنوان الذي يفشل. إذا لم توجد قاعدة مطابقة، فالاتصال يتصرف بشكل صحيح؛ والسياسة هي المفقودة.

من أين تأتي قيمة المجموعة فعليًا

مع Active Directory، يحمل حقل access-group معرّف SID للمجموعة، لا اسم العرض. ومع اتحاد SAML، يحمل معرّف المجموعة أو اسمها الذي تحمله سمة مجموعة SAML المهيأة فعليًا. انسخ القيمة من التأكيد أو من استعلام الدليل، لا من صفحة ويكي.

مجموعة IAM هي مستوى تحكم مختلف. الإذن بإدارة نقطة نهاية Client VPN لا يجعل مجموعة IAM مجموعة VPN للمستخدم، ولصق اسم مجموعة IAM في حقل access-group لا يحوّله إلى SID في AD أو إلى قيمة سمة SAML.

مجموعة باسم مشابه في دليل آخر لا تثبت شيئًا. تحقّق من طريقة مصادقة نقطة النهاية ومن عضوية المستخدم أو تأكيده في النظام نفسه.

الأطول بادئة يفوز، بما في ذلك 0.0.0.0/0

يُقيَّم التفويض بأطول مطابقة بادئة، وتُقيَّم قاعدة كل الوجهات أخيرًا لا أولًا. أضف قاعدة 10.46.0.0/16 لفريق Engineering وقاعدة 0.0.0.0/0 للجميع، وسيظل مستخدم خارج Engineering غير قادر على الوصول إلى 10.46.20.10 عبر القاعدة العريضة.

هنا يمكن أن يسوء الإصلاح. حذف القاعدة الضيقة يعيد وصول المستخدم ويمنح تلك الشبكة الفرعية أيضًا لكل هوية تشملها القاعدة العريضة. ابنِ مصفوفة المجموعة إلى الشبكة قبل أن تحذف أي شيء، واكتب أي المجموعات يفترض أن تصل إلى أي نطاق. هذه القواعد سماح فقط؛ لا يوجد إدخال منع لانتزاع استثناء من سماح عريض.

التغييرات تحتاج أيضًا إلى اتصال جديد لتُقيَّم بإنصاف. أعد توصيل العميل بعد تعديل القواعد، ثم اختبر مرة أخرى.

افصل التفويض عن مسار البيانات

قاعدة تطابق ليست مسارًا. تحتاج نقطة النهاية إلى شبكة فرعية مرتبطة وإلى إدخال في جدول التوجيه للوجهة، ويجب أن تقبل مجموعة أمان المورد الهدف حركة المرور. كما يجب أن تعمل حركة العودة وDNS.

اختبر مستخدمًا يجب أن ينجح ومستخدمًا يجب أن يبقى مستبعدًا. يمكن لكليهما تسجيل الدخول بينما يصل واحد فقط إلى الشبكة الفرعية، وهذا الفرق هو الدليل الذي تريده.

إذا عمل عنوان IP ولم يعمل اسم المضيف، فانظر إلى المُحلِّل قبل أن تمس التفويض. إن لم يغطِّ أي مسار العنوان، فأصلح الارتباط أو جدول التوجيه. وإن وصلت الحزمة ورفضتها الخدمة، فسياسة تلك الخدمة هي المحطة التالية. توسيع مصفوفة التفويض لتشمل كل المستخدمين يخفي أي تلك الطبقات كان معطلًا فعلًا.

قبل إغلاق التذكرة، سجّل مصدر الهوية، وقيمة المجموعة الدقيقة، وبادئات الوجهة، والمسار الذي يحمل الحركة. هذا السجل يحوّل تقرير متصل لكن بلا وصول التالي إلى مقارنة في دقيقتين بدلًا من جولة أخرى من التخمين.