AWS Client VPN: kirjautuminen onnistuu, mutta aliverkkoon ei pääse
Onnistunut AWS Client VPN -kirjautuminen ei valtuuta jokaista aliverkkoa. Tarkista ryhmän arvo ja tarkin kohdeohje ennen kuin laajennat pääsyä.
Asiakasohjelma näyttää Connected, varmenne on kelvollinen ja intranetin sivu päättyy yhä aikakatkaisuun. Tuo ero on lähes koskaan todentaminen. AWS Client VPN valtuuttaa kohteet erikseen kirjautumisesta, ja tavalliset kaksi syytä ovat ryhmän arvo, joka ei vastaa identiteetintarjoajan lähettämää, sekä tarkempi kohdeohje, joka voittaa laajan säännön. Molemmat näkyvät endpointin kokoonpanossa, kun tietää mihin katsoa.
Kirjautuminen onnistui; sääntö ei täsmännyt
Todentaminen vastaa siihen, kuka käyttäjä on. Valtuutussäännöt vastaavat siihen, mihin verkon etuliitteisiin tämä identiteetti saa päästä. Käyttäjä voi läpäistä ensimmäisen ja epäonnistua toisessa, eikä asiakasohjelma anna juuri muuta kuin yhteyden, joka pysyy pystyssä, kun jokainen pyyntö päättyy aikakatkaisuun.
Aloita vahvistamalla, että endpointilla on valtuutussääntö, jonka kohde sisältää epäonnistuvan osoitteen. Jos vastaavaa sääntöä ei ole, yhteys toimii oikein; käytäntö puuttuu.
Mistä ryhmän arvo oikeastaan tulee
Active Directoryssa access-group-kenttä sisältää ryhmän SID-tunnisteen, ei sen näyttönimeä. SAML-liittoutumassa se sisältää sen ryhmätunnisteen tai nimen, jonka määritetty SAML-ryhmämääre todella kuljettaa. Kopioi arvo assertionista tai hakemistohausta, älä wikisivulta.
IAM-ryhmä on eri hallintataso. Oikeus hallita Client VPN -endpointia ei tee IAM-ryhmästä käyttäjän VPN-ryhmää, eikä IAM-ryhmän nimen liittäminen access-group-kenttään muunna sitä AD:n SID-tunnisteeksi tai SAML-määritteen arvoksi.
Samanniminen ryhmä toisessa hakemistossa ei todista mitään. Tarkista endpointin todentamismenetelmä ja käyttäjän jäsenyys tai assertion samassa järjestelmässä.
Pisin etuliite voittaa, myös 0.0.0.0/0
Valtuutus arvioidaan pisimmän etuliitteen täsmäytyksen mukaan, ja kaikkien kohteiden sääntö arvioidaan viimeisenä, ei ensimmäisenä. Lisää Engineeringille sääntö 10.46.0.0/16 ja kaikille sääntö 0.0.0.0/0, niin Engineeringin ulkopuolinen käyttäjä ei silti pääse osoitteeseen 10.46.20.10 laajan säännön kautta.
Tässä korjaus voi mennä pieleen. Kapean säännön poistaminen palauttaa käyttäjän pääsyn ja myöntää saman aliverkon jokaiselle identiteetille, jonka laaja sääntö kattaa. Rakenna ryhmä-verkko-matriisi ennen kuin poistat mitään, ja kirjaa, minkä ryhmien pitäisi päästä mille alueelle. Nämä säännöt vain sallivat; ei ole kieltomerkintää, jolla laajasta sallinnasta leikattaisiin poikkeus.
Muutokset vaativat myös tuoreen yhteyden, jotta niitä voi arvioida reilusti. Yhdistä asiakasohjelma uudelleen sääntöjen muokkaamisen jälkeen ja testaa sitten uudelleen.
Erota valtuutus datapolusta
Täsmäävä sääntö ei ole reitti. Endpoint tarvitsee liitetyn aliverkon ja reititystaulun merkinnän kohteelle, ja kohderesurssin suojausryhmän on hyväksyttävä liikenne. Myös paluuliikenteen ja DNS:n on toimittava.
Testaa käyttäjää, jonka pitäisi onnistua, ja käyttäjää, jonka pitäisi jäädä ulkopuolelle. Molemmat voivat kirjautua, mutta vain toinen pääsee aliverkkoon, ja juuri se ero on haluamasi todiste.
Jos IP-osoite toimii mutta isäntänimi ei, katso resolveria ennen kuin kosket valtuutukseen. Jos mikään reitti ei kata osoitetta, korjaa liitos tai reititystaulu. Jos paketti saapuu ja palvelu hylkää sen, seuraava pysäkki on kyseisen palvelun käytäntö. Valtuutusmatriisin laajentaminen kaikkiin käyttäjiin kätkee, mikä noista kerroksista oli todella rikki.
Ennen kuin suljet tiketin, kirjaa identiteetin lähde, tarkka ryhmän arvo, kohteen etuliitteet ja liikennettä kuljettava reitti. Tämä kirjaus muuttaa seuraavan ilmoituksen yhdistetty mutta ei pääsyä kahden minuutin vertailuksi yhden arvauskierroksen sijaan.