AWS Client VPN: saluto sukcesas, sed la subreto ne estas atingebla

Via kliento diras Connected, la atestilo validas, kaj la intranetpaĝo ankoraŭ finiĝas per tempolimo. Tiu manko preskaŭ neniam estas aŭtentigo. AWS Client VPN rajtigas celojn aparte de saluto, kaj la du kutimaj kaŭzoj estas grupa valoro, kiu ne kongruas kun tio, kion sendis la identecprovizanto, kaj pli specifa destinregulo, kiu venkas la vastan regulon. Ambaŭ videblas en la endpoint-agordo, kiam vi scias, kie rigardi.

La saluto sukcesis; la regulo ne kongruis

Aŭtentigo respondas, kiu estas la uzanto. Rajtigaj reguloj respondas, kiujn retprefiksojn tiu identeco rajtas atingi. Uzanto povas pasi la unuan kaj malsukcesi en la dua, kaj la kliento donas al vi apenaŭ pli ol konekton, kiu restas malfermita dum ĉiu peto finiĝas per tempolimo.

Komencu konfirmante, ke la endpoint havas rajtigan regulon, kies celo enhavas la malsukcesan adreson. Se mankas kongrua regulo, la konekto kondutas ĝuste; mankas la politiko.

De kie la grupa valoro vere venas

Ĉe Active Directory la kampo access-group enhavas la SID de la grupo, ne ĝian montran nomon. Ĉe SAML-federacio ĝi enhavas la grupan ID aŭ nomon, kiun la agordita SAML-grupa atributo efektive portas. Kopiu la valoron el la assertion aŭ el la adresara serĉo, ne el vikia paĝo.

IAM-grupo estas alia rega ebeno. Permeso administri Client VPN endpoint ne faras IAM-grupon la VPN-grupo de uzanto, kaj alglui IAM-grupan nomon en la kampon access-group ne tradukas ĝin al AD SID nek al SAML-atributa valoro.

Grupo kun simila nomo en alia adresaro pruvas nenion. Kontrolu la aŭtentigan metodon de la endpoint kaj la membrecon aŭ assertion de la uzanto en tiu sama sistemo.

Gajnas la plej longa prefikso, inkluzive 0.0.0.0/0

Rajtigo estas taksata laŭ la plej longa prefiksa kongruo, kaj la regulo por ĉiuj celoj estas taksata laste, ne unue. Aldonu regulon 10.46.0.0/16 por Engineering kaj regulon 0.0.0.0/0 por ĉiuj, kaj uzanto ekster Engineering ankoraŭ ne povas atingi 10.46.20.10 per la vasta regulo.

Ĉi tie riparo povas misfunkcii. Forigi la mallarĝan regulon restarigas la aliron de la uzanto kaj ankaŭ donas tiun subreton al ĉiu identeco kovrita de la vasta regulo. Konstruu la matricon grupo-al-reto antaŭ ol vi forigos ion, kaj notu, kiuj grupoj devas atingi kiun intervalon. Ĉi tiuj reguloj nur permesas; ne ekzistas malpermesa enskribo por eltranĉi escepton el vasta permeso.

Ŝanĝoj ankaŭ bezonas novan konekton por esti justaj taksataj. Rekonektu la klienton post redakti regulojn, poste testu denove.

Apartigu rajtigon de la datenvojo

Kongrua regulo ne estas vojo. La endpoint bezonas ligitan subreton kaj eniron en la vojiga tabelo por la celo, kaj la sekureca grupo de la cela resurso devas akcepti la trafikon. Ankaŭ reena trafiko kaj DNS devas funkcii.

Testu uzanton, kiu devus sukcesi, kaj uzanton, kiu devus resti ekskludita. Ambaŭ povas saluti dum nur unu atingas la subreton, kaj tiu diferenco estas la pruvo, kiun vi volas.

Se IP-adreso funkcias sed gastiga nomo ne, rigardu la resolveron antaŭ ol tuŝi rajtigon. Se neniu vojo kovras la adreson, riparu la ligon aŭ la vojigan tabelon. Se la paketo alvenas kaj la servo rifuzas ĝin, la politiko de tiu servo estas la sekva halto. Vastigi la rajtigan matricon al ĉiuj uzantoj kaŝas, kiu el tiuj tavoloj efektive rompiĝis.

Antaŭ ol fermi la bileton, notu la identecfonton, la precizan grupan valoron, la celprefiksojn kaj la vojon, kiu portas la trafikon. Tiu noto transformas la sekvan raporton pri konektite sed sen aliro en komparon de du minutoj anstataŭ plia raŭndo da konjektado.