AWS Client VPN: mae mewngofnodi yn llwyddo, ond ni ellir cyrraedd yr is-rwydwaith

Mae eich cleient yn dweud Connected, mae’r dystysgrif yn ddilys, ac mae tudalen y fewnrwyd yn dal i ddod i ben ar amser allan. Anaml iawn y mae’r bwlch hwnnw’n broblem dilysu. Mae AWS Client VPN yn awdurdodi cyrchfannau ar wahân i fewngofnodi, a’r ddau achos arferol yw gwerth grŵp nad yw’n cyfateb i’r hyn a anfonodd y darparwr hunaniaeth a rheol gyrchfan fwy penodol sy’n curo’r rheol eang. Mae’r ddau i’w gweld yng nghyfluniad yr endpoint unwaith y byddwch yn gwybod ble i edrych.

Llwyddodd y mewngofnodi; ni chydweddodd y rheol

Mae dilysu yn ateb pwy yw’r defnyddiwr. Mae’r rheolau awdurdodi yn ateb pa ragodau rhwydwaith y caiff y hunaniaeth hon gyrraedd. Gall defnyddiwr basio’r cyntaf a methu’r ail, ac nid yw’r cleient yn rhoi llawer mwy na chysylltiad sy’n aros i fyny tra bo pob cais yn dod i ben ar amser allan.

Dechreuwch drwy gadarnhau bod gan yr endpoint reol awdurdodi y mae ei chyrchfan yn cynnwys y cyfeiriad sy’n methu. Os nad oes rheol gyfatebol, mae’r cysylltiad yn ymddwyn yn gywir; y polisi sydd ar goll.

O ble mae gwerth y grŵp yn dod mewn gwirionedd

Gydag Active Directory, mae maes access-group yn dal SID y grŵp, nid ei enw arddangos. Gyda ffederasiwn SAML, mae’n dal ID neu enw’r grŵp y mae’r priodwedd grŵp SAML a gyfluniwyd yn ei gario mewn gwirionedd. Copïwch y gwerth o’r assertion neu o’r chwiliad cyfeiriadur, nid o dudalen wiki.

Mae grŵp IAM yn blân rheoli gwahanol. Nid yw caniatâd i weinyddu endpoint Client VPN yn gwneud grŵp IAM yn grŵp VPN i ddefnyddiwr, ac nid yw gludo enw grŵp IAM i faes access-group yn ei droi’n SID AD nac yn werth priodwedd SAML.

Nid yw grŵp ag enw tebyg mewn cyfeiriadur arall yn profi dim. Gwiriwch ddull dilysu’r endpoint ac aelodaeth neu assertion y defnyddiwr yn yr un system honno.

Ennill y rhagddodiad hiraf, gan gynnwys 0.0.0.0/0

Mae awdurdodi yn cael ei werthuso drwy’r gyfatebiaeth rhagddodiad hiraf, ac mae’r rheol ar gyfer pob cyrchfan yn cael ei gwerthuso olaf, nid yn gyntaf. Ychwanegwch reol 10.46.0.0/16 ar gyfer Engineering a rheol 0.0.0.0/0 ar gyfer pawb, ac ni all defnyddiwr y tu allan i Engineering gyrraedd 10.46.20.10 drwy’r rheol eang o hyd.

Dyma lle gall atgyweiriad fynd o’i le. Mae dileu’r rheol gul yn adfer mynediad y defnyddiwr ac hefyd yn rhoi’r is-rwydwaith honno i bob hunaniaeth a gwmpesir gan y rheol eang. Adeiladwch y matrics grŵp-i-rwydwaith cyn i chi ddileu unrhyw beth, ac ysgrifennwch pa grwpiau sydd i fod i gyrraedd pa amrediad. Mae’r rheolau hyn yn caniatáu’n unig; nid oes cofnod gwrthod i dorri eithriad allan o ganiatâd eang.

Mae angen cysylltiad newydd ar newidiadau hefyd er mwyn eu barnu’n deg. Ailgysylltwch y cleient ar ôl golygu rheolau, yna profwch eto.

Gwahanwch awdurdodi oddi wrth y llwybr data

Nid yw rheol sy’n cyfateb yn llwybr. Mae angen is-rwydwaith gysylltiedig a chofnod tabl llwybr ar gyfer y gyrchfan ar yr endpoint, a rhaid i grŵp diogelwch yr adnodd targed dderbyn y traffig. Rhaid i draffig dychwelyd a DNS weithio hefyd.

Profwch ddefnyddiwr a ddylai lwyddo a defnyddiwr a ddylai aros allan. Gall y ddau fewngofnodi tra bo dim ond un yn cyrraedd yr is-rwydwaith, a’r gwahaniaeth hwnnw yw’r dystiolaeth rydych ei heisiau.

Os yw cyfeiriad IP yn gweithio ond nid enw gwesteiwr, edrychwch ar y resolver cyn cyffwrdd ag awdurdodi. Os nad oes llwybr yn gorchuddio’r cyfeiriad, trwsiwch y cysylltiad neu’r tabl llwybr. Os yw’r pecyn yn cyrraedd ac mae’r gwasanaeth yn ei wrthod, polisi’r gwasanaeth hwnnw yw’r stop nesaf. Mae ehangu’r matris awdurdodi i bob defnyddiwr yn cuddio pa un o’r haenau hynny oedd mewn gwirionedd wedi torri.

Cyn cau’r tocyn, cofnodwch y ffynhonnell hunaniaeth, union werth y grŵp, rhagddodiadau’r gyrchfan, a’r llwybr sy’n cario’r traffig. Mae’r cofnod hwnnw’n troi’r adroddiad nesaf am gysylltu heb fynediad yn gymhariaeth o ddwy funud yn lle rownd arall o ddyfalu.