AWS Client VPN: innskráning tekst en undirnetið er óaðgengilegt

Biðlarinn þinn segir Connected, vottorðið er gilt og innri vefsíðan rennur samt út á tíma. Það bil er næstum aldrei auðkenning. AWS Client VPN heimilar áfangastaði aðskilið frá innskráningu, og venjulegu tvær orsakirnar eru hópagildi sem passar ekki við það sem auðkennisveitandinn sendi og sérhæfðari áfangastaðarregla sem vinnur yfir breiðu regluna. Bæði sjást í stillingum endpointanna þegar maður veit hvert á að líta.

Innskráningin tókst; reglan passaði ekki

Auðkenning svarar því hver notandinn er. Heimildarreglurnar svara því hvaða netforskeyti sú auðkenni má ná til. Notandi getur staðist þá fyrstu og fallið á þeirri seinni, og biðlarinn gefur þér fátt annað en tengingu sem helst uppi á meðan hver beiðni rennur út á tíma.

Byrjaðu á að staðfesta að endpointið hafi heimildarreglu þar sem áfangastaðurinn inniheldur netfangið sem bregst. Ef engin samsvarandi regla er til, hagar tengingin sér rétt; stefnan vantar.

Hvaðan hópagildið kemur í raun

Með Active Directory geymir reiturinn access-group SID hópsins, ekki skjáheiti hans. Með SAML-sambandi geymir hann auðkenni eða nafn hópsins sem stillta SAML-hópaáttin ber í raun. Afritaðu gildið úr assertion eða uppflettingunni í skránni, ekki af wikisíðu.

IAM-hópur er annar stjórnunarflötur. Heimild til að stýra Client VPN endpointi gerir IAM-hóp ekki að VPN-hóp notandans, og að líma IAM-hópnafn í reitinn access-group þýðir það ekki yfir í AD SID eða SAML-áttagildi.

Hópur með svipuðu nafni í annarri skrá sannar ekkert. Athugaðu auðkenningaraðferð endpointanna og aðild eða assertion notandans í sama kerfi.

Lengsta forskeytið vinnur, þar á meðal 0.0.0.0/0

Heimild er metin eftir lengstu forskeytissamsvörun, og reglan fyrir alla áfangastaði er metin síðust, ekki fyrst. Bættu við reglu 10.46.0.0/16 fyrir Engineering og reglu 0.0.0.0/0 fyrir alla, og notandi utan Engineering kemst samt ekki á 10.46.20.10 í gegnum breiðu regluna.

Hér getur viðgerð farið úrskeiðis. Að eyða þröngu reglunni endurheimtir aðgang notandans og veitir það undirnet einnig hverju því auðkenni sem breiða reglan nær yfir. Byggðu hópa-til-nets fylkið áður en þú eyðir einhverju, og skrifaðu niður hvaða hópar eiga að ná til hvaða sviðs. Þessar reglur heimila aðeins; engin synjunarfærsla er til að skera undantekningu út úr breiðri heimild.

Breytingar þurfa líka nýja tengingu til að hægt sé að meta þær sanngjarnt. Tengdu biðlarann aftur eftir að hafa breytt reglum, og prófaðu svo aftur.

Aðskildu heimild frá gagnaleiðinni

Regla sem passar er ekki leið. Endpointið þarf tengt undirnet og færslu í leiðatöflunni fyrir áfangastaðinn, og öryggishópur marksins verður að þiggja umferðina. Svörunumferð og DNS verða líka að virka.

Prófaðu notanda sem á að takast og notanda sem á að vera útilokaður. Báðir geta skráð sig inn á meðan aðeins annar nær undirnetinu, og sá munur er sönnunin sem þú vilt.

Ef IP-tala virkar en hýsilnafn ekki, skoðaðu resolverinn áður en þú snertir heimildina. Ef engin leið nær yfir netfangið, lagaðu tenginguna eða leiðatöfluna. Ef pakkinn kemur og þjónustan hafnar honum, er stefna þeirrar þjónustu næsti viðkomustaður. Að víkka heimildafylkið út til allra notenda felur hvaða lag var í raun brotið.

Áður en þú lokar miðanum skaltu skrá auðkennisuppsprettuna, nákvæmt hópagildi, forskeyti áfangastaðarins og leiðina sem ber umferðina. Sú skráning gerir næstu tilkynningu um tengt en engan aðgang að tveggja mínútna samanburði í stað annarrar lotu af ágiskunum.