AWS Client VPN: η σύνδεση γίνεται, αλλά το υποδίκτυο δεν είναι προσβάσιμο

Ο πελάτης σας λέει Connected, το πιστοποιητικό είναι έγκυρο και η σελίδα του intranet εξακολουθεί να λήγει σε timeout. Αυτό το κενό σχεδόν ποτέ δεν είναι αυθεντικοποίηση. Το AWS Client VPN εξουσιοδοτεί τους προορισμούς ξεχωριστά από τη σύνδεση, και τα δύο συνήθη αίτια είναι μια τιμή ομάδας που δεν ταιριάζει με αυτό που έστειλε ο πάροχος ταυτότητας και ένας πιο συγκεκριμένος κανόνας προορισμού που υπερισχύει του ευρέος. Και τα δύο φαίνονται στη διαμόρφωση του endpoint όταν ξέρετε πού να κοιτάξετε.

Η σύνδεση πέτυχε· ο κανόνας δεν ταίριαξε

Η αυθεντικοποίηση απαντά ποιος είναι ο χρήστης. Οι κανόνες εξουσιοδότησης απαντούν ποια προθέματα δικτύου μπορεί να φτάσει αυτή η ταυτότητα. Ένας χρήστης μπορεί να περάσει το πρώτο και να αποτύχει στο δεύτερο, και ο πελάτης δεν σας δίνει πολλά περισσότερα από μια σύνδεση που μένει ανοιχτή ενώ κάθε αίτημα λήγει σε timeout.

Ξεκινήστε επιβεβαιώνοντας ότι το endpoint έχει κανόνα εξουσιοδότησης του οποίου ο προορισμός περιέχει τη διεύθυνση που αποτυγχάνει. Αν δεν υπάρχει αντίστοιχος κανόνας, η σύνδεση συμπεριφέρεται σωστά· λείπει η πολιτική.

Από πού προέρχεται πραγματικά η τιμή της ομάδας

Στο Active Directory, το πεδίο access-group περιέχει το SID της ομάδας, όχι το εμφανιζόμενο όνομά της. Στην ομοσπονδία SAML, περιέχει το ID ή το όνομα της ομάδας που φέρει πραγματικά το ρυθμισμένο χαρακτηριστικό ομάδας SAML. Αντιγράψτε την τιμή από το assertion ή από την αναζήτηση καταλόγου, όχι από σελίδα wiki.

Μια ομάδα IAM είναι διαφορετικό επίπεδο ελέγχου. Η άδεια διαχείρισης ενός endpoint Client VPN δεν κάνει μια ομάδα IAM ομάδα VPN του χρήστη, και η επικόλληση ονόματος ομάδας IAM στο πεδίο access-group δεν το μετατρέπει σε SID του AD ή σε τιμή χαρακτηριστικού SAML.

Μια ομάδα με παρόμοιο όνομα σε άλλον κατάλογο δεν αποδεικνύει τίποτα. Ελέγξτε τη μέθοδο αυθεντικοποίησης του endpoint και την ιδιότητα μέλους ή το assertion του χρήστη στο ίδιο σύστημα.

Κερδίζει το μεγαλύτερο πρόθεμα, μαζί με το 0.0.0.0/0

Η εξουσιοδότηση αξιολογείται με τη μεγαλύτερη αντιστοίχιση προθέματος, και ο κανόνας για όλους τους προορισμούς αξιολογείται τελευταίος, όχι πρώτος. Προσθέστε κανόνα 10.46.0.0/16 για το Engineering και κανόνα 0.0.0.0/0 για όλους, και ένας χρήστης εκτός Engineering εξακολουθεί να μην φτάνει το 10.46.20.10 μέσω του ευρέος κανόνα.

Εδώ μια διόρθωση μπορεί να πάει στραβά. Η διαγραφή του στενού κανόνα επαναφέρει την πρόσβαση του χρήστη και ταυτόχρονα παραχωρεί αυτό το υποδίκτυο σε κάθε ταυτότητα που καλύπτει ο ευρύς κανόνας. Χτίστε τον πίνακα ομάδας προς δίκτυο πριν διαγράψετε οτιδήποτε και σημειώστε ποιες ομάδες πρέπει να φτάνουν ποιο εύρος. Αυτοί οι κανόνες μόνο επιτρέπουν· δεν υπάρχει εγγραφή άρνησης για να κόψετε μια εξαίρεση από μια ευρεία άδεια.

Οι αλλαγές χρειάζονται επίσης νέα σύνδεση για να κριθούν δίκαια. Επανασυνδέστε τον πελάτη μετά την επεξεργασία των κανόνων και δοκιμάστε ξανά.

Διαχωρίστε την εξουσιοδότηση από τη διαδρομή δεδομένων

Ένας κανόνας που ταιριάζει δεν είναι διαδρομή. Το endpoint χρειάζεται συσχετισμένο υποδίκτυο και εγγραφή στον πίνακα δρομολόγησης για τον προορισμό, και η ομάδα ασφαλείας του πόρου προορισμού πρέπει να δέχεται την κίνηση. Η επιστροφική κίνηση και το DNS πρέπει επίσης να λειτουργούν.

Δοκιμάστε έναν χρήστη που πρέπει να πετύχει και έναν που πρέπει να μείνει εκτός. Και οι δύο μπορούν να συνδεθούν ενώ μόνο ένας φτάνει το υποδίκτυο, και αυτή η διαφορά είναι η απόδειξη που θέλετε.

Αν μια διεύθυνση IP λειτουργεί αλλά ένα όνομα κεντρικού υπολογιστή όχι, κοιτάξτε τον resolver πριν αγγίξετε την εξουσιοδότηση. Αν καμία διαδρομή δεν καλύπτει τη διεύθυνση, διορθώστε τη συσχέτιση ή τον πίνακα δρομολόγησης. Αν το πακέτο φτάσει και η υπηρεσία το απορρίψει, η πολιτική αυτής της υπηρεσίας είναι ο επόμενος σταθμός. Η διεύρυνση του πίνακα εξουσιοδότησης σε όλους τους χρήστες κρύβει ποιο από αυτά τα επίπεδα ήταν πραγματικά σπασμένο.

Πριν κλείσετε το ticket, καταγράψτε την πηγή ταυτότητας, την ακριβή τιμή της ομάδας, τα προθέματα προορισμού και τη διαδρομή που μεταφέρει την κίνηση. Αυτή η καταγραφή μετατρέπει την επόμενη αναφορά για σύνδεση χωρίς πρόσβαση σε σύγκριση δύο λεπτών αντί για άλλον έναν γύρο εικασιών.