AWS Client VPN: d’Anmeldung klappt, awer d’Subnetz bleift onereechbar

Äre Client seet Connected, d’Zertifikat ass gëlteg, an d’Intranetsäit leeft nach ëmmer an en Timeout. Dës Lück ass bal ni Authentifikatioun. AWS Client VPN autoriséiert Destinatiounen getrennt vun der Anmeldung, an déi zwee üblech Ursaache sinn e Gruppewäert, deen net mat deem iwwerenee stëmmt, wat den Identitéitsprovider geschéckt huet, an eng méi spezifesch Destinatiounsregel, déi déi breet Regel iwwerstëmmt. Béides ass an der Endpoint-Konfiguratioun ze gesinn, wann ee weess, wou ee kucke muss.

D’Anmeldung war erfolgreich; d’Regel huet net gepasst

Authentifikatioun äntwert, wien de Benotzer ass. D’Autorisatiounsregelen äntwerten, wéi eng Netzwierkpräfixen dës Identitéit erreeche kann. E Benotzer kann déi éischt bestoen an déi zweet verfehlen, an de Client gëtt Iech kaum méi wéi eng Verbindung, déi bestoe bleift, während all Ufro an en Timeout leeft.

Fänkt domat un ze confirméieren, datt den Endpoint eng Autorisatiounsregel huet, deenen hir Destinatioun déi faalend Adress enthält. Wann et keng passend Regel gëtt, verhält sech d’Verbindung richteg; et feelt d’Politik.

Wou de Gruppewäert tatsächlech hierkënnt

Bei Active Directory hält d’Feld access-group d’SID vum Grupp, net säin Unzeigenumm. Bei SAML-Federatioun hält et d’Gruppe-ID oder den Numm, deen dat konfiguréiert SAML-Gruppeattribut wierklech dréit. Kopéiert de Wäert aus der Assertion oder aus der Verzeechnesofro, net vun enger Wikissäit.

Eng IAM-Grupp ass eng aner Steierungsebene. D’Berechtegung, en Endpoint vum Client VPN ze administréieren, mécht aus enger IAM-Grupp keng VPN-Grupp vum Benotzer, an en IAM-Gruppennumm an d’Feld access-group ze pechen iwwersetzt en net an eng AD-SID oder e SAML-Attributwäert.

Eng ähnlech benannt Grupp an engem aneren Verzeechnes beweist näischt. Préift d’Authentifikatiounsmethod vum Endpoint an d’Memberschaft oder d’Assertion vum Benotzer an deem selwechte System.

De längste Präfix gewënnt, och 0.0.0.0/0

D’Autorisatioun gëtt no der längster Präfixübereestëmmung bewäert, an d’Regel fir all Destinatiounen gëtt als lescht bewäert, net als éischt. Füügt eng Regel 10.46.0.0/16 fir Engineering derbäi an eng Regel 0.0.0.0/0 fir jiddereen, an e Benotzer ausserhalb vum Engineering erreecht 10.46.20.10 iwwer déi breet Regel nach ëmmer net.

Hei kann eng Korrektur falsch goen. D’Läschen vun der enker Regel stellt de Zougang vum Benotzer erëm hier a gëtt dëst Subnetz och all Identitéit, déi vun der breeder Regel ofgedeckt ass. Baut d’Matrix Grupp-zu-Netzwierk, ier Dir eppes läscht, a schreift op, wéi eng Gruppe wéi eng Range solle kréien. Dës Regele ginn nëmmen zou; et gëtt keen Oflehnungsandroun, fir eng Ausnam aus enger breeder Erlaabnis erauszeschneiden.

Ännerungen brauchen och eng frësch Verbindung, fir gerecht bewäert ze ginn. Verbënnt de Client no der Ännerung vun de Regele vum Neien, a testt dann nach eng Kéier.

Trennt d’Autorisatioun vum Datenwee

Eng Regel, déi passt, ass keng Route. Den Endpoint brauch en associéiert Subnetz an en Androun an der Routtabell fir d’Destinatioun, an d’Sécherheetsgrupp vun der Zilressource muss den Traffic akzeptéieren. Retourstraffic an DNS mussen och funktionnéieren.

Testt e Benotzer, dee sollt geléngen, an e Benotzer, dee sollt ausgeschloss bleiwen. Béid kënnen sech aloggen, während nëmmen een d’Subnetz erreecht, an deen Ënnerscheed ass de Beweis, deen Dir wëllt.

Wann eng IP-Adress funktionnéiert an en Hostnumm net, kuckt de Resolver un, ier Dir d’Autorisatioun beréiert. Wann keng Route d’Adress deckt, verbessert d’Associatioun oder d’Routtabell. Wann de Paket ukommt an de Service en ofleent, ass d’Politik vun deem Service déi nächst Statioun. D’Autorisatiounsmatrix op all Benotzer auszebauen, verstoppt, wéi eng vun dëse Schichte wierklech futti war.

Ier Dir den Ticket zoumaacht, notéiert d’Identitéitsquell, den exakte Gruppewäert, d’Destinatiounspäfixen an d’Route, déi den Traffic dréit. Dës Notiz mécht déi nächst Meldung verbonnen, awer keen Zougang zu engem Verglach vun zwou Minutten amplaz nach enger Ronn Raten.