AWS Client VPN: Anmeldung klappt, aber das Subnetz bleibt unerreichbar

Ihr Client meldet Connected, das Zertifikat ist gültig, und die Intranetseite läuft trotzdem in einen Timeout. Diese Lücke ist fast nie ein Authentifizierungsproblem. AWS Client VPN autorisiert Ziele getrennt von der Anmeldung, und die zwei üblichen Ursachen sind ein Gruppenwert, der nicht zu dem passt, was der Identitätsanbieter gesendet hat, und eine spezifischere Zielregel, die die breite Regel schlägt. Beides ist in der Endpoint-Konfiguration sichtbar, sobald man weiß, wo man nachsehen muss.

Die Anmeldung war erfolgreich; die Regel passte nicht

Authentifizierung beantwortet, wer der Benutzer ist. Autorisierungsregeln beantworten, welche Netzwerkpräfixe diese Identität erreichen darf. Ein Benutzer kann das Erste bestehen und am Zweiten scheitern, und der Client liefert kaum mehr als eine Verbindung, die bestehen bleibt, während jede Anfrage in einen Timeout läuft.

Prüfen Sie zuerst, ob der Endpoint eine Autorisierungsregel hat, deren Ziel die fehlschlagende Adresse enthält. Fehlt eine passende Regel, verhält sich die Verbindung korrekt; es fehlt die Richtlinie.

Woher der Gruppenwert tatsächlich kommt

Bei Active Directory enthält das Feld access-group die SID der Gruppe, nicht ihren Anzeigenamen. Bei SAML-Föderation enthält es die Gruppen-ID oder den Namen, den das konfigurierte SAML-Gruppenattribut tatsächlich trägt. Kopieren Sie den Wert aus der Assertion oder aus der Verzeichnisabfrage, nicht aus einer Wiki-Seite.

Eine IAM-Gruppe ist eine andere Steuerungsebene. Die Berechtigung, einen Client-VPN-Endpoint zu verwalten, macht aus einer IAM-Gruppe keine VPN-Gruppe eines Benutzers, und ein IAM-Gruppenname im Feld access-group wird dadurch weder zu einer AD-SID noch zu einem SAML-Attributwert.

Eine ähnlich benannte Gruppe in einem anderen Verzeichnis beweist nichts. Prüfen Sie die Authentifizierungsmethode des Endpoints und die Mitgliedschaft oder Assertion des Benutzers in genau diesem System.

Das längste Präfix gewinnt, auch 0.0.0.0/0

Autorisierung wird nach der längsten Präfixübereinstimmung bewertet, und die Regel für alle Ziele wird zuletzt bewertet, nicht zuerst. Fügen Sie eine Regel 10.46.0.0/16 für Engineering und eine Regel 0.0.0.0/0 für alle hinzu, und ein Benutzer außerhalb von Engineering erreicht 10.46.20.10 über die breite Regel trotzdem nicht.

Hier kann eine Korrektur schiefgehen. Das Löschen der engen Regel stellt den Zugriff des Benutzers wieder her und gewährt dieses Subnetz zugleich jeder Identität, die von der breiten Regel abgedeckt wird. Bauen Sie die Matrix Gruppe zu Netzwerk, bevor Sie etwas löschen, und notieren Sie, welche Gruppen welchen Bereich erreichen sollen. Diese Regeln erlauben nur; es gibt keinen Ablehnungseintrag, mit dem Sie eine Ausnahme aus einer breiten Erlaubnis herausschneiden.

Änderungen brauchen außerdem eine frische Verbindung, um fair beurteilt zu werden. Verbinden Sie den Client nach dem Bearbeiten der Regeln neu und testen Sie dann erneut.

Autorisierung vom Datenpfad trennen

Eine passende Regel ist keine Route. Der Endpoint braucht ein zugeordnetes Subnetz und einen Eintrag in der Routentabelle für das Ziel, und die Sicherheitsgruppe der Zielressource muss den Verkehr annehmen. Rückverkehr und DNS müssen ebenfalls funktionieren.

Testen Sie einen Benutzer, der erfolgreich sein sollte, und einen, der ausgeschlossen bleiben sollte. Beide können sich anmelden, während nur einer das Subnetz erreicht, und genau dieser Unterschied ist der Beweis, den Sie wollen.

Wenn eine IP-Adresse funktioniert, ein Hostname aber nicht, schauen Sie zuerst auf den Resolver, bevor Sie die Autorisierung anfassen. Wenn keine Route die Adresse abdeckt, korrigieren Sie die Zuordnung oder die Routentabelle. Wenn das Paket ankommt und der Dienst es ablehnt, ist die Richtlinie dieses Dienstes der nächste Schritt. Die Autorisierungsmatrix auf alle Benutzer auszuweiten verdeckt, welche dieser Schichten tatsächlich defekt war.

Bevor Sie das Ticket schließen, halten Sie die Identitätsquelle, den genauen Gruppenwert, die Zielpräfixe und die Route fest, die den Verkehr trägt. Diese Notiz macht aus der nächsten Meldung verbunden, aber kein Zugriff einen Vergleich in zwei Minuten statt einer weiteren Runde Raten.