AWS Client VPN: кирүү ийгиликтүү, бирок ички тармакка жетүү жок
AWS Client VPN кирүүнүн ийгилиги ар бир ички тармакка уруксат дегенди билдирбейт. Мүмкүнчүлүктү кеңейтүүдөн мурун топтун маанисин жана эң так багыт эрежесин текшериңиз.
Клиентиңиз Connected деп көрсөтөт, сертификат жарактуу, бирок интранет баракчасы дагы эле убакыт бүтүү менен аяктайт. Бул айырма дээрлик эч качан аутентификация эмес. AWS Client VPN багыттарды кирүүдөн өзүнчө авторизациялайт, жана адаттагы эки себеп: идентификация провайдери жөнөткөнгө дал келбеген топ мааниси жана кең эрени жеңген так багыт эрежеси. Кайда кароону билсеңиз, экөө тең endpoint конфигурациясында көрүнөт.
Кирүү ийгиликтүү болду; эреже дал келген жок
Аутентификация колдонуучунун ким экенин жооп берет. Авторизация эрежелери бул идентификация кайсы тармак префикстерине жете аларын жооп берет. Колдонуучу биринчиден өтүп, экинчисинде ийгиликсиз болушу мүмкүн, ал эми клиент сизге ар бир суроо убакыт бүтүү менен аяктаганда туруп турган туташуудан башка көп нерсе бербейт.
Endpointте ийгиликсиз даректи камтыган багыт эрежеси бар-жогун ырастоодон баштаңыз. Дал келүүчү эреже жок болсо, туташуу туура иштейт; жетишпегени — саясат.
Топтун мааниси чындыгында кайдан келет
Active Directoryде access-group талаасы топтун SIDин сактайт, көрсөтүлүүчү атын эмес. SAML федерациясында ал конфигурацияланган SAML топ атрибуту чындыгында алып жүргөн топ IDин же атын сактайт. Маанини assertionдан же каталог издөөсүнөн көчүрүңүз, вики баракчасынан эмес.
IAM тобу — башка башкаруу тегиздиги. Client VPN endpointин администрациялоо укугу IAM тобун колдонуучунун VPN тобуна айландырбайт, ал эми IAM топ атын access-group талаасына койуу аны AD SIDине же SAML атрибут маанисине айландырбайт.
Башка каталогдогу окшош аттуу топ эч нерсени далилдебейт. Endpointтин аутентификация ыкмасын жана ошол эле системадагы колдонуучунун мүчөлүгүн же assertionын текшериңиз.
Эң узун префикс жеңет, анын ичинде 0.0.0.0/0
Авторизация эң узун префикс дал келүүсү боюнча бааланат, ал эми бардык багыттар эрежеси биринчи эмес, акырында бааланат. Engineering үчүн 10.46.0.0/16 эрежесин жана баарына 0.0.0.0/0 эрежесин кошуңуз, Engineeringден тышкары колдонуучу кең эреже аркылуу 10.46.20.10га дагы эле жете албайт.
Так ушул жерде оңдоо ката кетиши мүмкүн. Тар эрени өчүрүү колдонуучунун мүмкүнчүлүгүн кайтарат жана ошол ички тармакты кең эреже камтыган ар бир идентификацияга да берет. Бир нерсени өчүрүүдөн мурун топ-тармак матрицасын түзүп, кайсы топ кайсы диапазонго жетиши керектигин жазып коюңуз. Бул эрежелер уруксат гана берет; кең уруксаттан өзгөчөлүк кыркып алуу үчүн тыюу жазуусу жок.
Өзгөртүүлөрдү акыйкат баалоо үчүн жаңы туташуу да керек. Эрежелерди оңдогондон кийин клиентти кайра туташтырыңыз, анан кайра сынаңыз.
Авторизацияны маалымат жолунан бөлүңүз
Дал келүүчү эреже — маршрут эмес. Endpointке байланган ички тармак жана багыт үчүн маршруттоо таблицасынын жазуусу керек, ал эми максаттуу ресурстун коопсуздук тобу трафикти кабыл алышы керек. Кайтарылуучу трафик жана DNS да иштеши керек.
Ийгиликтүү болушу керек колдонуучуну жана сыртта калышы керек колдонуучуну сынаңыз. Экөө тең кире алат, бирок бирөө гана ички тармакка жетет, жана так ошол айырма — сизге керек далил.
IP дарек иштеп, хост аты иштебесе, авторизацияга кол тийгизүүдөн мурун resolverге караңыз. Эч бир маршрут даректи камтыбаса, байланышты же маршруттоо таблицасын оңдоңуз. Пакет келип, кызмат аны четке какса, кийинки токтоочу жай — ошол кызматтын саясаты. Авторизация матрицасын бардык колдонуучуларга кеңейтүү кайсы катмар чындыгында бузулганын жашырат.
Билетти жаппас мурун идентификация булагын, топтун так маанисин, багыт префикстерин жана трафикти ташыган маршрутту жазыңыз. Бул жазуу кийинки туташкан, бирок мүмкүнчүлүк жок деген билдирүүнү дагы бир божомол айлампасынын ордуна эки мүнөттүк салыштырууга айландырат.