Διακοπτόμενη πρόσβαση στο AWS Client VPN: ελέγξτε κάθε συνδεδεμένο υποδίκτυο

Ένας χρήστης συνδέεται, ανοίγει την εσωτερική εφαρμογή και παίρνει απάντηση· ένας συνάδελφος στο ίδιο τελικό σημείο παίρνει λήξη χρονικού ορίου από πανομοιότυπο φορητό υπολογιστή στο ίδιο Wi-Fi. Αυτό το μοτίβο είναι η υπογραφή ενός τελικού σημείου client VPN με περισσότερα από ένα συνδεδεμένα υποδίκτυα, όπου οι διαδρομές δεν είναι ισοδύναμες. Το ακολουθώ από την κονσόλα προς τα έξω, γιατί δύο καρτέλες καθορίζουν αν αξίζει τον κόπο η υπόλοιπη έρευνα. Τίποτα στη διαμόρφωση του πελάτη δεν το εξηγεί.

Ξεκινήστε από το τελικό σημείο και καταγράψτε τις συσχετίσεις

Στην κονσόλα VPC, ανοίξτε Client VPN endpoints, επιλέξτε το τελικό σημείο και διαβάστε την καρτέλα Associations. Κάθε συσχέτιση είναι ένα υποδίκτυο σε ζώνη διαθεσιμότητας, και ο πελάτης προσγειώνεται σε όποιο επιλέξει η υπηρεσία όταν χτιστεί η σύνδεση. Σημειώστε τα ID των υποδικτύων και τον πίνακα διαδρομών που χρησιμοποιεί πραγματικά το καθένα, γιατί αυτές οι δύο λίστες είναι η σύγκριση που πρόκειται να κάνετε.

Αν το τελικό σημείο δείχνει μία μόνο συσχέτιση, αυτή η θεωρία είναι λάθος και ο πελάτης είναι ο καλύτερος ύποπτος.

Συγκρίνετε τον πίνακα διαδρομών του τελικού σημείου με κάθε συσχέτιση

Ανοίξτε την καρτέλα Route table στο ίδιο τελικό σημείο. Κάθε CIDR προορισμού εκεί έχει στόχο, και σε ένα client VPN ο στόχος είναι συσχέτιση και όχι πύλη. Η AWS απαιτεί καταχώριση προορισμού για κάθε συνδεδεμένο υποδίκτυο, οπότε μια διαδρομή που στοχεύει μόνο ένα από αυτά κάνει την πρόσβαση να εξαρτάται από το πού προσγειώθηκε η συνεδρία. Ελέγξτε τον προορισμό που πραγματικά σας ενδιαφέρει και μετά τον κανόνα εξουσιοδότησής του, γιατί η διαδρομή παρέχει το μονοπάτι και ο κανόνας αποφασίζει ποιος μπορεί να το χρησιμοποιήσει.

Μόλις καταγράψετε και τα δύο επίπεδα σε πίνακα, η βλάβη είναι δύσκολο να διαφύγει.

Η δεύτερη γραμμή είναι ολόκληρο το σφάλμα στα περισσότερα δελτία. Η διαδρομή του τελικού σημείου υπάρχει, οπότε κανείς δεν κοιτάζει παραπέρα, και το πακέτο πεθαίνει ένα άλμα αργότερα μέσα στο VPC.

Ακολουθήστε κάθε υποδίκτυο στον πίνακα διαδρομών που ισχύει

Ένα υποδίκτυο χωρίς ρητή συσχέτιση πίνακα διαδρομών κληρονομεί τον κύριο πίνακα του VPC. Διαβάστε τον πίνακα που πραγματικά ισχύει, όχι εκείνον του οποίου το όνομα φαίνεται σωστό, και συγκρίνετε προορισμό και στόχο αντί για την ετικέτα της γραμμής.

Ο οδηγός της AWS για διακοπτόμενη πρόσβαση το περιγράφει ως κάλυψη διαδρομών σε όλες τις συσχετίσεις, που είναι το σωστό μοντέλο. Το τελικό σημείο φέρνει το πακέτο σε ένα υποδίκτυο, και ο πίνακας εκείνου του υποδικτύου πρέπει ακόμη να ξέρει πού ζει το δίκτυο της εφαρμογής.

Διορθώστε τη γραμμή που λείπει στον πίνακα που την κατέχει. Η αντιγραφή ολόκληρου πίνακα διαδρομών από ένα υποδίκτυο που δουλεύει αντιγράφει και επιλογές διαδικτύου, συσκευών και απομόνωσης που δεν προορίζονταν ποτέ για αυτό, και αυτή η ανταλλαγή είναι συνήθως χειρότερη από τη διακοπή με την οποία ξεκινήσατε.

Ελέγξτε τους κανόνες εξουσιοδότησης και μετά τη διαδρομή επιστροφής

Οι κανόνες εξουσιοδότησης είναι ανά προορισμό και ανά ομάδα και αξιολογούνται χωριστά από τις διαδρομές. Ένας προορισμός με διαδρομές παντού αλλά χωρίς κανόνα για την ομάδα του χρήστη συμπεριφέρεται σαν μαύρη τρύπα με πίνακα διαδρομών που φαίνεται υγιής.

Η διαδρομή επιστροφής αξίζει την ίδια προσοχή. Μια σύνδεση peering χρειάζεται διαδρομή στο VPC της εφαρμογής που δείχνει πίσω στο CIDR του πελάτη, κανόνες ομάδας ασφαλείας που επιτρέπουν την κίνηση και στα δύο άκρα, και ACL δικτύου που δεν την πετούν. Η μονόδρομη προσβασιμότητα, όπου το ping δουλεύει και η χειραψία TCP όχι, δείχνει συνήθως σε ACL ή ομάδα ασφαλείας και όχι στο VPN.

Οι ίδιες οι ομάδες ασφαλείας του τελικού σημείου βρίσκονται στις ελαστικές διεπαφές δικτύου της συσχέτισης, οπότε ένας κανόνας που επιτρέπει τη θύρα της εφαρμογής από το CIDR του πελάτη πρέπει να προσαρτάται στη συσχέτιση, όχι μόνο στο στιγμιότυπο.

Επαληθεύστε με επανασύνδεση, όχι με ένα τυχερό αίτημα

Με split tunnel, οι διαδρομές του τελικού σημείου ωθούνται όταν εγκαθίσταται η σύνδεση, οπότε ένα αλλαγμένο σύνολο διαδρομών δεν φτάνει ποτέ σε πελάτη που μένει συνδεδεμένος. Αποσυνδεθείτε και συνδεθείτε ξανά μέσω του υποστηριζόμενου πελάτη και μετά επιβεβαιώστε ότι οι νέες διαδρομές υπάρχουν στο μηχάνημα.

Τέλος, συσχετίστε το αρχείο καταγραφής συνδέσεων με τη διεύθυνση που έλαβε ο πελάτης και επαναλάβετε τη δοκιμή αρκετές φορές ώστε να πετύχετε περισσότερες από μία συσχετίσεις. Ένα μόνο επιτυχημένο αίτημα μετά από διόρθωση αποδεικνύει ότι ένα μονοπάτι δουλεύει, και το δελτίο αφορούσε το άλλο.