AWS Client VPN: saioa hasten da, baina azpisarera ez da iristen

Zure bezeroak Connected dio, ziurtagiria baliozkoa da eta intranet orrialdeak oraindik denbora-muga jasaten du. Hutsune hori ia inoiz ez da autentifikazioa. AWS Client VPN-k helmugak saio-hasteen ezberdin baimenduko ditu, eta ohiko bi arrazoiak hauek dira: identitate-hornitzaileak bidalitakoarekin bat egiten ez duen talde-balio bat eta arau zabala gainditzen duen helmuga-arau zehatzago bat. Biak endpoint-en konfigurazioan ikusten dira, non begiratu jakinda.

Saioa ondo hasi zen; arauak ez zuen bat egin

Autentifikazioak erabiltzailea nor den erantzuten du. Baimen-arauak identitate horrek zein sare-prefixotara irits daitekeen erantzuten dute. Erabiltzaile batek lehena gaindi dezake eta bigarrenean huts egin, eta bezeroak ez dizu ematen eskaera bakoitzak denbora-muga jasaten duen bitartean irekita mantentzen den konexio bat baino askoz gehiago.

Hasi endpoint-ak baimen-arau bat duela baieztatzen, zeinaren helmugak huts egiten duen helbidea baitauka. Bat datorren araurik ez badago, konexioak ondo jokatzen du; politika da falta dena.

Nondik dator taldearen balioa benetan

Active Directory-rekin, access-group eremuak taldearen SID-a dauka, ez bistaratze-izena. SAML federazioarekin, konfiguratutako SAML talde-atributuak benetan dakarren talde-IDa edo izena dauka. Kopiatu balioa assertion-etik edo direktorio-kontsultatik, ez wiki orrialde batetik.

IAM talde bat kontrol-plano desberdina da. Client VPN endpoint bat administratzeko baimenak ez du IAM talde bat erabiltzailearen VPN talde bihurtzen, eta IAM talde-izena access-group eremuan itsasteak ez du AD SID edo SAML atributu-balio bihurtzen.

Beste direktorio bateko antzeko izena duen talde batek ez du ezer frogatzen. Egiaztatu endpoint-aren autentifikazio-metodoa eta erabiltzailearen kidetasuna edo assertion-a sistema berean.

Prefixorik luzeenak irabazten du, 0.0.0.0/0 barne

Baimena prefixorik luzeenaren bat-etortzearen arabera ebaluatzen da, eta helmuga guztien araua azkeneko ebaluatzen da, ez lehena. Gehitu 10.46.0.0/16 araua Engineering taldearentzat eta 0.0.0.0/0 araua guztientzat, eta Engineering kanpoko erabiltzaile bat ez da 10.46.20.10-ra iritsiko arau zabalaren bidez.

Hemen konponketa bat gaizki atera daiteke. Arau estua ezabatzeak erabiltzailearen sarbidea berrezartzen du eta azpisare hori arau zabalak estaltzen duen identitate guztiei ere ematen die. Eraiki talde-sare matrizea ezer ezabatu aurretik, eta idatzi zein taldek zein barrutitara iritsi behar duen. Arau hauek baimena soilik ematen dute; ez dago ukatze-sarrerarik baimen zabal batetik salbuespena mozteko.

Aldaketek konexio berria ere behar dute bidezko ebaluazioa izateko. Berriz konektatu bezeroa arauak editatu ondoren, eta probatu berriro.

Bereizi baimena datu-bidetik

Bat datorren araua ez da ibilbide bat. Endpoint-ak lotutako azpisare bat eta helmugarako bideratze-taulako sarrera bat behar ditu, eta helburuko baliabidearen segurtasun-taldeak trafikoa onartu behar du. Itzultze-trafikoak eta DNS-ek ere funtzionatu behar dute.

Probatu arrakasta izan behar duen erabiltzaile bat eta kanpoan geratu behar duen erabiltzaile bat. Biak has daitezke saioa, baina batek soilik iristen da azpisarera, eta ezberdintasun hori da nahi duzun froga.

IP helbide batek funtzionatzen badu baina ostalari-izenak ez, begiratu resolver-a baimena ukitu aurretik. Ibilbide batek helbidea estaltzen ez badu, konpondu lotura edo bideratze-taula. Paketea iristen bada eta zerbitzuak ukatzen badu, zerbitzu horren politika da hurrengo geltokia. Baimen-matrizea erabiltzaile guztietara zabaltzeak ezkutatzen du zein geruza zegoen benetan hautsita.

Txartela itxi aurretik, erregistratu identitate-iturria, talde-balio zehatza, helmuga-prefixoak eta trafikoa daraman ibilbidea. Erregistro horrek hurrengo konektatuta baina sarbiderik gabe txostena bi minutuko alderaketa bihurtzen du, susmo-bira bat gehiago izan beharrean.