AWS Client VPN: ಲಾಗಿನ್ ಯಶಸ್ವಿಯಾಗುತ್ತದೆ, ಆದರೆ ಸಬ್‌ನೆಟ್ ತಲುಪಲಾಗದು

ನಿಮ್ಮ ಕ್ಲೈಂಟ್ Connected ಎನ್ನುತ್ತದೆ, ಪ್ರಮಾಣಪತ್ರ ಮಾನ್ಯವಾಗಿದೆ, ಆದರೂ ಇಂಟ್ರಾನೆಟ್ ಪುಟ ಇನ್ನೂ ಸಮಯ ಮೀರುವಿಕೆಯಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ. ಈ ಅಂತರ ಬಹುತೇಕ ಎಂದಿಗೂ ದೃಢೀಕರಣವಲ್ಲ. AWS Client VPN ಲಾಗಿನ್‌ನಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ಗಮ್ಯಸ್ಥಾನಗಳಿಗೆ ಅಧಿಕಾರ ನೀಡುತ್ತದೆ, ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಎರಡು ಕಾರಣಗಳಿರುತ್ತವೆ: ಗುರುತಿನ ಪೂರೈಕೆದಾರ ಕಳುಹಿಸಿದ್ದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗದ ಗುಂಪಿನ ಮೌಲ್ಯ, ಮತ್ತು ವಿಶಾಲ ನಿಯಮವನ್ನು ಮೀರಿಸುವ ಹೆಚ್ಚು ನಿರ್ದಿಷ್ಟ ಗಮ್ಯಸ್ಥಾನ ನಿಯಮ. ಎಲ್ಲಿ ನೋಡಬೇಕೆಂದು ಗೊತ್ತಿದ್ದರೆ ಎರಡೂ endpoint ಸಂರಚನೆಯಲ್ಲಿ ಕಾಣುತ್ತವೆ.

ಲಾಗಿನ್ ಯಶಸ್ವಿಯಾಯಿತು; ನಿಯಮ ಹೊಂದಿಕೆಯಾಗಲಿಲ್ಲ

ದೃಢೀಕರಣವು ಬಳಕೆದಾರರು ಯಾರು ಎಂಬುದನ್ನು ಉತ್ತರಿಸುತ್ತದೆ. ಅಧಿಕಾರ ನಿಯಮಗಳು ಆ ಗುರುತು ಯಾವ ನೆಟ್‌ವರ್ಕ್ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳನ್ನು ತಲುಪಬಹುದು ಎಂಬುದನ್ನು ಉತ್ತರಿಸುತ್ತವೆ. ಬಳಕೆದಾರರು ಮೊದಲನೆಯದನ್ನು ದಾಟಿ ಎರಡನೆಯದರಲ್ಲಿ ವಿಫಲರಾಗಬಹುದು, ಮತ್ತು ಪ್ರತಿ ವಿನಂತಿಯೂ ಸಮಯ ಮೀರುವಾಗ ಕ್ಲೈಂಟ್ ನಿಮಗೆ ನಿಂತಿರುವ ಸಂಪರ್ಕಕ್ಕಿಂತ ಹೆಚ್ಚೇನನ್ನೂ ಕೊಡುವುದಿಲ್ಲ.

ವಿಫಲವಾಗುತ್ತಿರುವ ವಿಳಾಸವನ್ನು ಗಮ್ಯಸ್ಥಾನದಲ್ಲಿ ಹೊಂದಿರುವ ಅಧಿಕಾರ ನಿಯಮ endpoint‌ಗೆ ಇದೆಯೇ ಎಂದು ದೃಢೀಕರಿಸಿ ಪ್ರಾರಂಭಿಸಿ. ಹೊಂದಿಕೆಯಾಗುವ ನಿಯಮ ಇಲ್ಲದಿದ್ದರೆ, ಸಂಪರ್ಕ ಸರಿಯಾಗಿ ವರ್ತಿಸುತ್ತಿದೆ; ಕೊರತೆ ನೀತಿಯದು.

ಗುಂಪಿನ ಮೌಲ್ಯ ನಿಜವಾಗಿ ಎಲ್ಲಿಂದ ಬರುತ್ತದೆ

Active Directory ನಲ್ಲಿ, access-group ಕ್ಷೇತ್ರವು ಗುಂಪಿನ ಪ್ರದರ್ಶನ ಹೆಸರನ್ನಲ್ಲ, ಅದರ SID ಅನ್ನು ಹೊಂದಿರುತ್ತದೆ. SAML ಫೆಡರೇಶನ್‌ನಲ್ಲಿ, ಸಂರಚಿಸಿದ SAML ಗುಂಪು ಗುಣಲಕ್ಷಣ ನಿಜವಾಗಿ ಒಯ್ಯುವ ಗುಂಪು ID ಅಥವಾ ಹೆಸರನ್ನು ಹೊಂದಿರುತ್ತದೆ. ಮೌಲ್ಯವನ್ನು assertion ಅಥವಾ ಡೈರೆಕ್ಟರಿ ಹುಡುಕಾಟದಿಂದ ನಕಲಿಸಿ, ವಿಕಿ ಪುಟದಿಂದಲ್ಲ.

IAM ಗುಂಪು ಬೇರೆ ನಿಯಂತ್ರಣ ಸಮತಲವಾಗಿದೆ. Client VPN endpoint ಅನ್ನು ನಿರ್ವಹಿಸುವ ಅನುಮತಿ IAM ಗುಂಪನ್ನು ಬಳಕೆದಾರರ VPN ಗುಂಪಾಗಿ ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು access-group ಕ್ಷೇತ್ರದಲ್ಲಿ IAM ಗುಂಪಿನ ಹೆಸರನ್ನು ಅಂಟಿಸುವುದು ಅದನ್ನು AD SID ಅಥವಾ SAML ಗುಣಲಕ್ಷಣ ಮೌಲ್ಯವಾಗಿ ಪರಿವರ್ತಿಸುವುದಿಲ್ಲ.

ಬೇರೆ ಡೈರೆಕ್ಟರಿಯಲ್ಲಿ ಇದೇ ಹೆಸರಿನ ಗುಂಪು ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. endpoint‌ನ ದೃಢೀಕರಣ ವಿಧಾನ ಮತ್ತು ಅದೇ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ಬಳಕೆದಾರರ ಸದಸ್ಯತ್ವ ಅಥವಾ assertion ಪರಿಶೀಲಿಸಿ.

ಅತಿ ಉದ್ದದ ಪ್ರಿಫಿಕ್ಸ್ ಗೆಲ್ಲುತ್ತದೆ, 0.0.0.0/0 ಸೇರಿದಂತೆ

ಅಧಿಕಾರವು ಅತಿ ಉದ್ದದ ಪ್ರಿಫಿಕ್ಸ್ ಹೊಂದಾಣಿಕೆಯಿಂದ ಮೌಲ್ಯಮಾಪನವಾಗುತ್ತದೆ, ಮತ್ತು ಎಲ್ಲಾ ಗಮ್ಯಸ್ಥಾನಗಳ ನಿಯಮವು ಮೊದಲಲ್ಲ, ಕೊನೆಯಲ್ಲಿ ಮೌಲ್ಯಮಾಪನವಾಗುತ್ತದೆ. Engineering‌ಗೆ 10.46.0.0/16 ನಿಯಮ ಮತ್ತು ಎಲ್ಲರಿಗೂ 0.0.0.0/0 ನಿಯಮ ಸೇರಿಸಿ; Engineering‌ನ ಹೊರಗಿನ ಬಳಕೆದಾರ ಇನ್ನೂ ವಿಶಾಲ ನಿಯಮದ ಮೂಲಕ 10.46.20.10 ತಲುಪಲಾರರು.

ಇಲ್ಲಿಯೇ ಸುಧಾರಣೆ ತಪ್ಪಾಗಬಹುದು. ಸಣ್ಣ ನಿಯಮವನ್ನು ಅಳಿಸುವುದರಿಂದ ಬಳಕೆದಾರರ ಪ್ರವೇಶ ಮರಳುತ್ತದೆ ಮತ್ತು ವಿಶಾಲ ನಿಯಮ ಆವರಿಸುವ ಪ್ರತಿ ಗುರುತಿಗೂ ಆ ಸಬ್‌ನೆಟ್ ಸಿಗುತ್ತದೆ. ಏನನ್ನೂ ಅಳಿಸುವ ಮೊದಲು ಗುಂಪು-ಜಾಲ ಮ್ಯಾಟ್ರಿಕ್ಸ್ ನಿರ್ಮಿಸಿ, ಯಾವ ಗುಂಪು ಯಾವ ಶ್ರೇಣಿಯನ್ನು ತಲುಪಬೇಕೆಂದು ಬರೆದಿಡಿ. ಈ ನಿಯಮಗಳು ಅನುಮತಿ ಮಾತ್ರ ನೀಡುತ್ತವೆ; ವಿಶಾಲ ಅನುಮತಿಯಿಂದ ವಿನಾಯಿತಿ ಕತ್ತರಿಸಲು ನಿರಾಕರಣೆ ನಮೂದು ಇಲ್ಲ.

ಬದಲಾವಣೆಗಳಿಗೆ ನ್ಯಾಯಯುತ ಮೌಲ್ಯಮಾಪನಕ್ಕಾಗಿ ಹೊಸ ಸಂಪರ್ಕವೂ ಬೇಕು. ನಿಯಮಗಳನ್ನು ಸಂಪಾದಿಸಿದ ನಂತರ ಕ್ಲೈಂಟ್ ಮರುಸಂಪರ್ಕಿಸಿ, ನಂತರ ಮತ್ತೆ ಪರೀಕ್ಷಿಸಿ.

ಅಧಿಕಾರವನ್ನು ಡೇಟಾ ಮಾರ್ಗದಿಂದ ಬೇರ್ಪಡಿಸಿ

ಹೊಂದಿಕೆಯಾಗುವ ನಿಯಮ ಮಾರ್ಗವಲ್ಲ. endpoint‌ಗೆ ಸಂಬಂಧಿತ ಸಬ್‌ನೆಟ್ ಮತ್ತು ಗಮ್ಯಸ್ಥಾನಕ್ಕಾಗಿ ರೂಟ್ ಕೋಷ್ಟಕ ನಮೂದು ಬೇಕು, ಮತ್ತು ಗುರಿ ಸಂಪನ್ಮೂಲದ ಭದ್ರತಾ ಗುಂಪು ಸಂಚಾರವನ್ನು ಸ್ವೀಕರಿಸಬೇಕು. ಹಿಂತಿರುಗುವ ಸಂಚಾರ ಮತ್ತು DNS ಸಹ ಕೆಲಸ ಮಾಡಬೇಕು.

ಯಶಸ್ವಿಯಾಗಬೇಕಾದ ಬಳಕೆದಾರ ಮತ್ತು ಹೊರಗೆ ಉಳಿಯಬೇಕಾದ ಬಳಕೆದಾರರನ್ನು ಪರೀಕ್ಷಿಸಿ. ಇಬ್ಬರೂ ಲಾಗಿನ್ ಆಗಬಹುದು, ಆದರೆ ಒಬ್ಬರೇ ಸಬ್‌ನೆಟ್ ತಲುಪುತ್ತಾರೆ, ಮತ್ತು ಆ ವ್ಯತ್ಯಾಸವೇ ನಿಮಗೆ ಬೇಕಾದ ಸಾಕ್ಷ್ಯ.

IP ವಿಳಾಸ ಕೆಲಸ ಮಾಡಿ ಹೋಸ್ಟ್ ಹೆಸರು ಮಾಡದಿದ್ದರೆ, ಅಧಿಕಾರಕ್ಕೆ ಕೈ ಹಾಕುವ ಮೊದಲು resolver ನೋಡಿ. ಯಾವುದೇ ರೂಟ್ ವಿಳಾಸವನ್ನು ಆವರಿಸದಿದ್ದರೆ, ಸಂಬಂಧ ಅಥವಾ ರೂಟ್ ಕೋಷ್ಟಕ ಸರಿಪಡಿಸಿ. ಪ್ಯಾಕೆಟ್ ಬಂದು ಸೇವೆ ಅದನ್ನು ನಿರಾಕರಿಸಿದರೆ, ಮುಂದಿನ ನಿಲ್ದಾಣ ಆ ಸೇವೆಯ ನೀತಿ. ಅಧಿಕಾರ ಮ್ಯಾಟ್ರಿಕ್ಸ್ ಅನ್ನು ಎಲ್ಲಾ ಬಳಕೆದಾರರಿಗೆ ವಿಸ್ತರಿಸುವುದು ಯಾವ ಪದರ ನಿಜವಾಗಿ ಮುರಿದಿತ್ತು ಎಂಬುದನ್ನು ಮರೆಮಾಡುತ್ತದೆ.

ಟಿಕೆಟ್ ಮುಚ್ಚುವ ಮೊದಲು ಗುರುತಿನ ಮೂಲ, ನಿಖರ ಗುಂಪಿನ ಮೌಲ್ಯ, ಗಮ್ಯಸ್ಥಾನ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳು ಮತ್ತು ಸಂಚಾರವನ್ನು ಒಯ್ಯುವ ಮಾರ್ಗವನ್ನು ದಾಖಲಿಸಿ. ಆ ದಾಖಲೆ ಮುಂದಿನ ಸಂಪರ್ಕವಿದೆ ಆದರೆ ಪ್ರವೇಶವಿಲ್ಲ ವರದಿಯನ್ನು ಇನ್ನೊಂದು ಊಹೆಯ ಸುತ್ತಿನ ಬದಲು ಎರಡು ನಿಮಿಷಗಳ ಹೋಲಿಕೆಯಾಗಿ ಬದಲಿಸುತ್ತದೆ.