AWS Client VPN: кіру сәтті, бірақ ішкі желіге қол жеткізу жоқ
AWS Client VPN-ге сәтті кіру әр ішкі желіге рұқсат бермейді. Қолжетімділікті кеңейтпес бұрын топ мәнін және ең нақты межелі орын ережесін тексеріңіз.
Клиентіңіз Connected деп көрсетеді, сертификат жарамды, ал интранет беті әлі де уақыт бітуімен аяқталады. Бұл айырмашылық дерлік ешқашан аутентификация емес. AWS Client VPN межелі орындарды кіруден бөлек авторизациялайды, ал әдеттегі екі себеп: идентификация провайдері жібергенге сәйкес келмейтін топ мәні және кең ережені жеңетін неғұрлым нақты межелі орын ережесі. Қайда қарауды білсеңіз, екеуі де endpoint конфигурациясында көрінеді.
Кіру сәтті өтті; ереже сәйкес келмеді
Аутентификация пайдаланушының кім екенін жауаптайды. Авторизация ережелері бұл сәйкестік қай желілік префикстерге жете алатынын жауаптайды. Пайдаланушы біріншіден өтіп, екіншісінде сәтсіз бола алады, ал клиент сізге әр сұраныс уақыт бітуімен аяқталғанша тұратын қосылымнан басқа онша көп нәрсе бермейді.
Endpoint-те сәтсіз мекенжайды қамтитын межелі орын ережесі бар-жоғын растаудан бастаңыз. Сәйкес ереже болмаса, қосылым дұрыс әрекет етеді; жетіспейтіні — саясат.
Топ мәні шын мәнінде қайдан келеді
Active Directory-де access-group өрісі топтың SID-ін сақтайды, көрсетілетін атын емес. SAML федерациясында ол конфигурацияланған SAML топ атрибуты шын мәнінде алып жүретін топ ID-ін немесе атын сақтайды. Мәнді assertion-нан немесе каталог іздеуінен көшіріңіз, вики бетінен емес.
IAM тобы — басқа басқару жазықтығы. Client VPN endpoint-ін әкімшілендіру рұқсаты IAM тобын пайдаланушының VPN тобына айналдырмайды, ал IAM топ атын access-group өрісіне қою оны AD SID-іне немесе SAML атрибут мәніне айналдырмайды.
Басқа каталогтағы ұқсас атаулы топ ештеңені дәлелдемейді. Endpoint-тің аутентификация әдісін және сол жүйедегі пайдаланушының мүшелігін немесе assertion-ын тексеріңіз.
Ең ұзын префикс жеңеді, оның ішінде 0.0.0.0/0
Авторизация ең ұзын префикс сәйкестігі бойынша бағаланады, ал барлық межелі орындар ережесі бірінші емес, соңында бағаланады. Engineering үшін 10.46.0.0/16 ережесін және барлығына 0.0.0.0/0 ережесін қосыңыз, ал Engineering-нен тыс пайдаланушы кең ереже арқылы 10.46.20.10-ға әлі де жете алмайды.
Дәл осы жерде түзету қате кетуі мүмкін. Тар ережені жою пайдаланушының қолжетімділігін қалпына келтіреді және сол ішкі желіні кең ереже қамтитын әрбір сәйкестікке де береді. Бірдеңені жоймас бұрын топ-желі матрицасын құрып, қай топтың қай диапазонға жетуі керегін жазып қойыңыз. Бұл ережелер тек рұқсат береді; кең рұқсаттан ерекшелік қиып алу үшін тыйым жазбасы жоқ.
Өзгерістерді әділ бағалау үшін жаңа қосылым да қажет. Ережелерді өңдегеннен кейін клиентті қайта қосыңыз, содан кейін қайта сынаңыз.
Авторизацияны деректер жолынан бөліңіз
Сәйкес келетін ереже — маршрут емес. Endpoint-ке байланысқан ішкі желі және межелі орын үшін маршруттау кестесінің жазбасы қажет, ал мақсатты ресурстың қауіпсіздік тобы трафикті қабылдауы керек. Қайтарылатын трафик пен DNS те жұмыс істеуі керек.
Сәтті болуы тиіс пайдаланушыны және сыртта қалуы тиіс пайдаланушыны сынаңыз. Екеуі де кіре алады, бірақ тек біреуі ішкі желіге жетеді, және дәл осы айырмашылық — сізге керек дәлел.
IP мекенжайы жұмыс істеп, хост атауы істемесе, авторизацияға қол тигізбес бұрын resolver-ге қараңыз. Ешбір маршрут мекенжайды қамтымаса, байланысты немесе маршруттау кестесін түзетіңіз. Пакет келіп, қызмет оны қабылдамаса, келесі аялдама — сол қызметтің саясаты. Авторизация матрицасын барлық пайдаланушыға кеңейту қай қабаттың шын мәнінде бұзылғанын жасырады.
Билетті жаппас бұрын сәйкестік көзін, топтың нақты мәнін, межелі орын префикстерін және трафикті таситын маршрутты жазып қойыңыз. Бұл жазба келесі қосылған, бірақ қолжетімділік жоқ деген хабарламаны тағы бір болжам айналымының орнына екі минуттық салыстыруға айналдырады.