AWS Client VPN: giriş uğurludur, lakin alt şəbəkəyə çatmaq mümkün deyil

Müştəriniz Connected deyir, sertifikat etibarlıdır, intranet səhifəsi isə yenə vaxt aşımına düşür. Bu fərq demək olar ki, heç vaxt autentifikasiya deyil. AWS Client VPN təyinatları girişdən ayrı avtorizasiya edir və adətən iki səbəb olur: identifikasiya provayderinin göndərdiyi ilə uyğun gəlməyən qrup dəyəri və geniş qaydanı üstələyən daha konkret təyinat qaydası. Hər ikisi, hara baxacağınızı bildikdən sonra endpoint konfiqurasiyasında görünür.

Giriş uğurlu oldu, qayda uyğun gəlmədi

Autentifikasiya istifadəçinin kim olduğunu cavablandırır. Avtorizasiya qaydaları bu identifikasiyanın hansı şəbəkə prefikslərinə çata biləcəyini cavablandırır. İstifadəçi birincidən keçib ikincidə uğursuz ola bilər və müştəri sizə yalnız hər sorğu vaxt aşımına düşərkən açıq qalan bir bağlantı verir.

Endpointin təyinatı uğursuz ünvanı ehtiva edən avtorizasiya qaydası olub-olmadığını təsdiqləməklə başlayın. Uyğun qayda yoxdursa, bağlantı düzgün davranır; çatışmayan siyasətdir.

Qrup dəyəri əslində haradan gəlir

Active Directory-də access-group sahəsi qrupun göstərilən adını deyil, SID-ini saxlayır. SAML federasiyasında isə konfiqurasiya edilmiş SAML qrup atributunun həqiqətən daşıdığı qrup ID-sini və ya adını saxlayır. Dəyəri wiki səhifəsindən deyil, assertion-dan və ya kataloq sorğusundan kopyalayın.

IAM qrupu başqa idarəetmə müstəvisidir. Client VPN endpointini idarə etmək icazəsi IAM qrupunu istifadəçinin VPN qrupu etmir və IAM qrup adını access-group sahəsinə yapışdırmaq onu AD SID-inə və ya SAML atribut dəyərinə çevirmir.

Başqa kataloqda oxşar adlı qrup heç nəyi sübut etmir. Endpointin autentifikasiya metodunu və istifadəçinin həmin sistemdəki üzvlüyünü və ya assertion-u yoxlayın.

Ən uzun prefiks qalib gəlir, o cümlədən 0.0.0.0/0

Avtorizasiya ən uzun prefiks uyğunluğu ilə qiymətləndirilir və bütün təyinatlar qaydası birinci deyil, sonuncu qiymətləndirilir. Engineering üçün 10.46.0.0/16 qaydası və hamı üçün 0.0.0.0/0 qaydası əlavə edin; Engineering-dən kənar istifadəçi yenə də geniş qayda ilə 10.46.20.10 ünvanına çata bilməyəcək.

Düzəliş məhz burada pis nəticə verə bilər. Dar qaydanı silmək istifadəçinin girişini bərpa edir və həmin alt şəbəkəni geniş qaydanın əhatə etdiyi hər identifikasiyaya da verir. Bir şey silməzdən əvvəl qrup–şəbəkə matrisini qurun və hansı qrupun hansı aralığa çatmalı olduğunu yazın. Bu qaydalar yalnız icazə verir; geniş icazədən istisna çıxarmaq üçün rədd qeydi yoxdur.

Dəyişikliklər ədalətli qiymətləndirilmək üçün təzə bağlantı da tələb edir. Qaydaları redaktə etdikdən sonra müştərini yenidən qoşun, sonra yenidən sınaqdan keçirin.

Avtorizasiyanı məlumat yolundan ayırın

Uyğun gələn qayda marşrut deyil. Endpointin əlaqələndirilmiş alt şəbəkəsi və təyinat üçün marşrut cədvəli qeydi olmalıdır, hədəf resursun təhlükəsizlik qrupu da trafiki qəbul etməlidir. Qayıdış trafiki və DNS də işləməlidir.

Uğur qazanmalı olan istifadəçini və kənarda qalmalı olan istifadəçini sınayın. Hər ikisi daxil ola bilər, lakin yalnız biri alt şəbəkəyə çatır və bu fərq sizin axtardığınız sübutdur.

IP ünvanı işləyir, host adı işləmirsə, avtorizasiyaya toxunmazdan əvvəl resolver-ə baxın. Ünvanı heç bir marşrut əhatə etmirsə, assosiasiyanı və ya marşrut cədvəlini düzəldin. Paket gəlib xidmət onu rədd edirsə, növbəti dayanacaq həmin xidmətin siyasətidir. Avtorizasiya matrisini bütün istifadəçilərə genişlətmək hansı qatın həqiqətən sındığını gizlədir.

Bileti bağlamazdan əvvəl identifikasiya mənbəyini, dəqiq qrup dəyərini, təyinat prefikslərini və trafiki daşıyan marşrutu qeyd edin. Bu qeyd növbəti qoşulub, amma giriş yoxdur hesabatını daha bir dəfə təxmin etmək əvəzinə iki dəqiqəlik müqayisəyə çevirir.