AWS Client VPN. Մուտքը հաջող է, բայց ենթացանցը հասանելի չէ

Ձեր կլիենտը ցույց է տալիս Connected, վկայականը վավեր է, իսկ ինտրանետի էջը դեռ ավարտվում է ժամանակի սպառմամբ։ Այդ բացը գրեթե երբեք նույնականացում չէ։ AWS Client VPN-ը նպատակակետերը լիազորում է մուտքից առանձին, և սովորական երկու պատճառներն են՝ խմբի արժեք, որը չի համապատասխանում ինքնության տրամադրողի ուղարկածին, և ավելի կոնկրետ նպատակակետի կանոն, որը հաղթում է լայն կանոնին։ Երկուսն էլ երևում են endpoint-ի կազմաձևում, երբ գիտես, թե որտեղ նայել։

Մուտքը հաջողվեց, կանոնը չհամընկավ

Նույնականացումը պատասխանում է, թե ով է օգտատերը։ Լիազորման կանոնները պատասխանում են, թե այդ ինքնությունը որ ցանցային նախածանցերին կարող է հասնել։ Օգտատերը կարող է անցնել առաջինը և ձախողել երկրորդում, իսկ կլիենտը ձեզ տալիս է ընդամենը կապ, որը մնում է բաց, մինչ յուրաքանչյուր հարցում սպառում է ժամանակը։

Սկսեք հաստատելով, որ endpoint-ն ունի լիազորման կանոն, որի նպատակակետը պարունակում է ձախողվող հասցեն։ Եթե համապատասխան կանոն չկա, կապը վարվում է ճիշտ. բացակայում է քաղաքականությունը։

Որտեղից է իրականում գալիս խմբի արժեքը

Active Directory-ում access-group դաշտը պահում է խմբի SID-ը, ոչ թե դրա ցուցադրվող անունը։ SAML ֆեդերացիայում այն պահում է խմբի ID-ն կամ անունը, որը կազմաձևված SAML խմբի ատրիբուտն իրականում կրում է։ Արժեքը պատճենեք assertion-ից կամ գրացուցակի հարցումից, ոչ վիքի էջից։

IAM խումբը այլ կառավարման հարթություն է։ Client VPN endpoint-ը կառավարելու թույլտվությունը IAM խումբը չի դարձնում օգտատերի VPN խումբ, և IAM խմբի անունը access-group դաշտում տեղադրելը այն չի վերածում AD SID-ի կամ SAML ատրիբուտի արժեքի։

Այլ գրացուցակում նման անունով խումբը ոչինչ չի ապացուցում։ Ստուգեք endpoint-ի նույնականացման մեթոդը և օգտատերի անդամակցությունը կամ assertion-ը նույն համակարգում։

Հաղթում է ամենաերկար նախածանցը, ներառյալ 0.0.0.0/0

Լիազորումը գնահատվում է ամենաերկար նախածանցի համընկնմամբ, և բոլոր նպատակակետերի կանոնը գնահատվում է վերջինը, ոչ առաջինը։ Ավելացրեք 10.46.0.0/16 կանոն Engineering-ի համար և 0.0.0.0/0 կանոն բոլորի համար, և Engineering-ից դուրս օգտատերը դեռ չի հասնի 10.46.20.10-ին լայն կանոնով։

Այստեղ ուղղումը կարող է սխալ ընթանալ։ Նեղ կանոնը ջնջելը վերականգնում է օգտատերի հասանելիությունը և այդ ենթացանցը տալիս է նաև լայն կանոնով ընդգրկված յուրաքանչյուր ինքնության։ Կառուցեք խումբ-ցանց մատրիցը, նախքան ինչ-որ բան ջնջելը, և գրեք, թե որ խմբերը որ տիրույթին պետք է հասնեն։ Այս կանոնները միայն թույլատրում են. լայն թույլտվությունից բացառություն կտրելու արգելքի գրառում չկա։

Փոփոխությունները նաև թարմ կապ են պահանջում արդար գնահատման համար։ Կանոնները խմբագրելուց հետո նորից միացրեք կլիենտը, ապա նորից փորձարկեք։

Առանձնացրեք լիազորումը տվյալների ուղուց

Համընկնող կանոնը երթուղի չէ. endpoint-ին անհրաժեշտ են կապված ենթացանց և երթուղային աղյուսակի գրառում նպատակակետի համար, իսկ թիրախ ռեսուրսի անվտանգության խումբը պետք է ընդունի երթևեկությունը։ Հետադարձ երթևեկությունը և DNS-ը նույնպես պետք է աշխատեն։

Փորձարկեք օգտատերի, որը պետք է հաջողի, և օգտատերի, որը պետք է մնա դուրս։ Երկուսն էլ կարող են մուտք գործել, մինչ միայն մեկն է հասնում ենթացանցին, և այդ տարբերությունն է ձեզ անհրաժեշտ ապացույցը։

Եթե IP հասցեն աշխատում է, իսկ հոսթի անունը՝ ոչ, նայեք resolver-ին, նախքան լիազորմանը դիպչելը։ Եթե ոչ մի երթուղի չի ծածկում հասցեն, ուղղեք կապակցումը կամ երթուղային աղյուսակը։ Եթե փաթեթը հասնում է, և ծառայությունը մերժում է այն, հաջորդ կանգառը այդ ծառայության քաղաքականությունն է։ Լիազորման մատրիցը բոլոր օգտատերերի վրա ընդլայնելը թաքցնում է, թե այդ շերտերից որն էր իրականում կոտրված։

Տոմսը փակելուց առաջ գրանցեք ինքնության աղբյուրը, խմբի ճշգրիտ արժեքը, նպատակակետի նախածանցերը և երթևեկությունը կրող երթուղին։ Այդ գրառումը հաջորդ միացած է, բայց հասանելիություն չկա հաղորդումը դարձնում է երկու րոպեի համեմատություն՝ ևս մեկ գուշակության փուլի փոխարեն։