AWS Client VPN: ההתחברות מצליחה אבל רשת המשנה אינה נגישה

הלקוח שלכם מציג Connected, התעודה תקפה, ועמוד האינטרנט הפנימי עדיין מסתיים בפסק זמן. הפער הזה כמעט אף פעם אינו אימות. AWS Client VPN מאשר יעדים בנפרד מההתחברות, ושתי הסיבות הרגילות הן ערך קבוצה שאינו תואם למה ששלח ספק הזהות, וכלל יעד ספציפי יותר שגובר על הכלל הרחב. שניהם נראים בתצורת ה-endpoint ברגע שיודעים היכן להסתכל.

ההתחברות הצליחה; הכלל לא התאים

אימות עונה על השאלה מי המשתמש. כללי הרשאה עונים על השאלה לאילו קידומות רשת הזהות הזו רשאית להגיע. משתמש יכול לעבור את הראשון ולהיכשל בשני, והלקוח נותן לכם לא יותר מחיבור שנשאר פתוח בזמן שכל בקשה מסתיימת בפסק זמן.

התחילו באימות של-endpoint יש כלל הרשאה שהיעד שלו מכיל את הכתובת שנכשלת. אם אין כלל מתאים, החיבור מתנהג נכון; המדיניות היא החסרה.

מאין מגיע בפועל ערך הקבוצה

ב-Active Directory שדה access-group מחזיק את ה-SID של הקבוצה, לא את שם התצוגה שלה. בפדרציית SAML הוא מחזיק את מזהה הקבוצה או את שמה שמאפיין קבוצת ה-SAML המוגדר נושא בפועל. העתיקו את הערך מה-assertion או מחיפוש הספרייה, לא מדף ויקי.

קבוצת IAM היא מישור בקרה אחר. הרשאה לנהל endpoint של Client VPN אינה הופכת קבוצת IAM לקבוצת ה-VPN של המשתמש, והדבקת שם קבוצת IAM בשדה access-group אינה מתרגמת אותו ל-SID של AD או לערך מאפיין SAML.

קבוצה בשם דומה בספרייה אחרת אינה מוכיחה דבר. בדקו את שיטת האימות של ה-endpoint ואת החברות או ה-assertion של המשתמש באותה מערכת.

הקידומת הארוכה ביותר מנצחת, כולל 0.0.0.0/0

ההרשאה מוערכת לפי התאמת הקידומת הארוכה ביותר, והכלל של כל היעדים מוערך אחרון ולא ראשון. הוסיפו כלל 10.46.0.0/16 עבור Engineering וכלל 0.0.0.0/0 לכולם, ומשתמש מחוץ ל-Engineering עדיין לא יגיע ל-10.46.20.10 דרך הכלל הרחב.

כאן תיקון יכול להשתבש. מחיקת הכלל הצר מחזירה את הגישה של המשתמש וגם מעניקה את רשת המשנה הזו לכל זהות שהכלל הרחב מכסה. בנו את מטריצת הקבוצה לרשת לפני שמוחקים משהו, ורשמו אילו קבוצות אמורות להגיע לאיזה טווח. כללים אלה רק מתירים; אין רשומת חסימה כדי לגזור חריגה מתוך היתר רחב.

שינויים דורשים גם חיבור חדש כדי להישפט בהוגנות. חברו מחדש את הלקוח לאחר עריכת כללים, ואז בדקו שוב.

הפרידו בין הרשאה למסלול הנתונים

כלל שמתאים אינו מסלול. ה-endpoint צריך רשת משנה משויכת ורשומה בטבלת המסלולים עבור היעד, וקבוצת האבטחה של משאב היעד חייבת לקבל את התעבורה. גם תעבורת החזרה ו-DNS חייבות לעבוד.

בדקו משתמש שאמור להצליח ומשתמש שאמור להישאר מחוץ לתחום. שניהם יכולים להתחבר בעוד שרק אחד מגיע לרשת המשנה, וההבדל הזה הוא ההוכחה שאתם רוצים.

אם כתובת IP עובדת אבל שם מארח לא, הסתכלו על ה-resolver לפני שנוגעים בהרשאה. אם אין מסלול שמכסה את הכתובת, תקנו את השיוך או את טבלת המסלולים. אם החבילה מגיעה והשירות דוחה אותה, המדיניות של אותו שירות היא התחנה הבאה. הרחבת מטריצת ההרשאה לכל המשתמשים מסתירה איזו מהשכבות האלה הייתה שבורה באמת.

לפני סגירת הפנייה, תעדו את מקור הזהות, את ערך הקבוצה המדויק, את קידומות היעד ואת המסלול שנושא את התעבורה. התיעוד הזה הופך את הדיווח הבא על מחובר בלי גישה להשוואה של שתי דקות במקום עוד סבב ניחושים.