Ënnerbrach Zougang mat AWS Client VPN: kontrolléiert all verbonnen Subnetz

E Benotzer verbënnt sech, mécht déi intern App op a kritt eng Äntwert; e Kolleeg um selwechten Endpunkt kritt eng Zäitiwwerschreidung vun engem identeschen Laptop am selwechte Wi-Fi. Dëst Muster ass d’Signatur vun engem Client VPN-Endpunkt mat méi wéi engem verbonnene Subnetz, wou d’Weeër net gläichwäerteg sinn. Ech ginn dat vun der Konsole no baussen duerch, well zwou Tabs entscheeden, ob de Rescht vun der Enquête et wäert ass. Näischt an der Client-Konfiguratioun erkläert et.

Fänkt um Endpunkt un a lëscht d’Associatiounen

An der VPC-Konsole öffnet Client VPN endpoints, wielt den Endpunkt a liest den Tab Associations. All Associatioun ass e Subnetz an enger Disponibilitéitszon, an de Client landt op deem, deen den Service beim Opbau vun der Verbindung wielt. Notéiert d’Subnetz-IDs an d’Routentabelle, déi jidderee wierklech benotzt, well déi zwou Lëschten sinn de Verglach, deen Dir grad maacht.

Wann den Endpunkt nëmmen eng Associatioun weist, ass dës Theorie falsch an de Client ass dee beschten Verdächtegen.

Vergläicht d’Routentabelle vum Endpunkt mat all Associatioun

Öffnet den Tab Route table um selwechten Endpunkt. All Destinatiouns-CIDR do huet en Zil, a bei engem Client VPN ass d’Zil eng Associatioun an net eng Gateway. AWS verlaangt en Destinatiounsendrop fir all verbonnene Subnetz, also mécht eng Route, déi nëmmen op eng dovun zilt, den Zougang dovun ofhängeg, wou d’Sessioun gelant ass. Kontrolléiert d’Destinatioun, déi Dir wierklech braucht, an duerno hir Autorisatiounsregel, well eng Route de Wee liwwert an eng Regel entscheet, wien en däerf benotzen.

Wann Dir béid Schichte tabuléiert, ass de Feeler schwéier ze iwwersinn.

Déi zweet Zeil ass de ganze Bug an de meeschte Ticketen. D’Endpunkt-Route ass do, also kuckt keen weider, an de Pak stierft een Hopp méi spéit an der VPC.

Verfollegt all Subnetz an seng effektiv Routentabelle

E Subnetz ouni ausdrécklech Routentabelle-Associatioun ierft d’Haapttabelle vun der VPC. Liest d’Tabelle, déi tatsächlech gëllt, net déi, deen hiren Numm richteg ausgesäit, a vergläicht Destinatioun an Zil amplaz d’Etikett an der Zeil.

Den AWS-Guide fir ënnerbrach Zougang beschreift dat als Routeofdeckung iwwer d’Associatiounen, wat dat richtegt Modell ass. Den Endpunkt bréngt de Pak op e Subnetz, an d’Tabelle vun deem Subnetz muss nach ëmmer wëssen, wou den Applikatiounsnetz läit.

Fleckt d’fehlend Zeil an der Tabelle, déi se besëtzt. Eng ganz Routentabelle vun engem funktionéierende Subnetz ze kopéieren, kopéiert och Internet-, Apparat- an Isolatiounsentscheedungen, déi ni fir dës geduecht waren, an dësen Tausch ass meeschtens méi schlëmm wéi d’Stéierung, mat där Dir ugefaang hutt.

Kontrolléiert d’Autorisatiounsregelen, duerno de Wee zréck

Autorisatiounsregelen sinn pro Destinatioun a pro Grupp a ginn separat vun de Routen evaluéiert. Eng Destinatioun mat Routen iwwerall awer ouni Regel fir d’Grupp vum Benotzer verhält sech wéi e schwaarzt Lach mat enger Routentabelle, déi gesond ausgesäit.

De Wee zréck verdéngt déiselwecht Opmierksamkeet. Eng Peering-Verbindung brauch eng Route an der App-VPC zréck op de Client-CIDR, Sécherheetsgruppregelen, déi den Trafik op béide Säiten erlaben, an Netzwierk-ACLen, déi en net fale loossen. Eensäiteg Erreechbarkeet, wou ping funktionéiert an den TCP-Handshake net, weist meeschtens op eng ACL oder eng Sécherheetsgrupp an net op d’VPN.

D’Sécherheetsgruppe vum Endpunkt selwer sëtzen op den elasteschen Netzwierkinterfacen vun der Associatioun, also muss eng Regel, déi den App-Port vum Client-CIDR erlaabt, un d’Associatioun ugehaange ginn, net nëmmen un d’Instanz.

Verifizéiert mat enger Reconnectioun, net mat enger glécklecher Ufro

Bei Split Tunnel ginn d’Endpunkt-Routen beim Opbau vun der Verbindung geschéckt, also erreecht e geännerten Routesatz ni e Client, dee verbonne bleift. Trennt d’Verbindung a verbënnt Iech iwwer den ënnerstëtzte Client erëm, a bestätegt duerno, datt déi nei Routen um Rechner sinn.

Schlussendlech korreléiert d’Verbindungsprotokoll mat der Adress, déi de Client kritt huet, a widderhëlt den Test dacks genuch, fir méi wéi eng Associatioun ze treffen. Eng eenzeg erfollegräich Ufro no enger Korrektur beweist, datt ee Wee funktionéiert, an den Ticket war iwwer deen aneren.