AWS Client VPN: shiga ya yi nasara amma ba a isa subnet ɗin ba

Abokin cinikinka yana cewa Connected, takardar shaida tana aiki, kuma shafin intranet har yanzu yana ƙarewa da lokaci. Wannan gibin kusan ba tabbatarwa ba ne. AWS Client VPN yana ba da izinin wuraren zuwa daban daga shiga, kuma dalilai biyu na yau da kullum su ne darajar rukuni da ba ta dace da abin da mai ba da shaidar ya aika ba, da kuma mafi takamaiman ka’idar manufa da ta fi ƙarfin faffadar ka’ida. Duka biyu ana iya ganin su a cikin tsarin endpoint idan ka san inda za ka duba.

Shigar ta yi nasara; ka’idar ba ta dace ba

Tabbatarwa tana amsa wanene mai amfani. Ka’idojin izini suna amsa waɗanne prefixes na cibiyar sadarwa wannan shaidar za ta iya isa. Mai amfani zai iya wuce na farko ya kasa na biyu, kuma abokin ciniki ba ya ba ka fiye da haɗin da ke tsayawa yayin da kowace bukata ke ƙarewa da lokaci.

Fara da tabbatar da cewa endpoint yana da ka’idar izini wadda manufarta ta ƙunshi adireshin da ke kasa. Idan babu ka’idar da ta dace, haɗin yana aiki daidai; manufar ce ta ɓace.

Daga ina darajar rukuni take zuwa da gaske

Da Active Directory, filin access-group yana riƙe da SID na rukuni, ba sunan nunawa ba. Da haɗin SAML, yana riƙe da ID ko sunan rukunin da sifar rukunin SAML da aka saita take ɗauka da gaske. Kwafi darajar daga assertion ko daga binciken directory, ba daga shafin wiki ba.

Rukunin IAM wata hanya ce ta sarrafawa daban. Izinin gudanar da endpoint na Client VPN ba ya mai da rukunin IAM rukunin VPN na mai amfani, kuma liƙa sunan rukunin IAM a filin access-group ba ya mai da shi SID na AD ko darajar sifar SAML.

Rukuni mai kama da suna a wata directory ba ya tabbatar da komai. Duba hanyar tabbatarwar endpoint da kasancewar mai amfani ko assertion a wannan tsarin.

Mafi dogon prefix ne ke cin nasara, har da 0.0.0.0/0

Ana auna izini ta mafi dogon daidaiton prefix, kuma ana auna ka’idar duk wuraren zuwa a ƙarshe, ba farko ba. Ƙara ka’idar 10.46.0.0/16 don Engineering da ka’idar 0.0.0.0/0 ga kowa, kuma mai amfani a wajen Engineering ba zai iya isa 10.46.20.10 ta faffadar ka’ida ba.

Anan gyara zai iya yin kuskure. Share ƙaramiyar ka’ida yana maido da damar mai amfani kuma yana ba da wannan subnet ga kowace shaidar da faffadar ka’ida ta ƙunsa. Gina matris ɗin rukuni-zuwa-cibiyar sadarwa kafin ka share wani abu, ka rubuta waɗanne rukuni ne ya kamata su isa wane zango. Waɗannan ka’idoji suna ba da izini ne kawai; babu shigarwar hana don yanke keɓe daga faffadar izini.

Canje-canje kuma suna buƙatar sabon haɗi don a tantance su cikin adalci. Sake haɗa abokin ciniki bayan gyara ka’idoji, sannan sake gwadawa.

Raba izini da hanyar bayanai

Ka’idar da ta dace ba hanya ba ce. Endpoint yana buƙatar subnet ɗin da aka haɗa da shigarwar teburin hanya don manufar, kuma ƙungiyar tsaro ta albarkar da ake nufi dole ta karɓi zirga-zirgar. Zirga-zirgar dawowa da DNS ma dole su yi aiki.

Gwada mai amfani da ya kamata ya yi nasara da mai amfani da ya kamata ya kasance a waje. Duka biyu suna iya shiga yayin da ɗaya kaɗai ke isa subnet ɗin, kuma wannan bambanci shine shaidar da kake so.

Idan adireshin IP yana aiki amma sunan na’ura ba ya aiki, duba resolver kafin ka taɓa izini. Idan babu hanyar da ta rufe adireshin, gyara haɗin ko teburin hanya. Idan fakitin ya iso kuma sabis ɗin ya ƙi shi, manufar wannan sabis ɗin ita ce tasha ta gaba. Faɗaɗa matris ɗin izini ga duk masu amfani yana ɓoye wanne daga waɗannan matakan ya lalace da gaske.

Kafin ka rufe tikit ɗin, rubuta tushen shaidar, ainihin darajar rukuni, prefixes na manufa, da hanyar da ke ɗaukar zirga-zirgar. Wannan rubutun yana mai da rahoton na gaba na an haɗa amma babu damar shiga kwatancen minti biyu maimakon wani zagayen hasashe.