AWS Client VPN: prisijungti pavyksta, bet potinklis nepasiekiamas

Jūsų klientas rodo Connected, sertifikatas galioja, o intraneto puslapis vis tiek baigiasi skirtuoju laiku. Šis skirtumas beveik niekada nėra autentifikacija. AWS Client VPN autorizuoja paskirties vietas atskirai nuo prisijungimo, o dvi įprastos priežastys yra grupės reikšmė, kuri neatitinka to, ką atsiuntė tapatybės teikėjas, ir konkretesnė paskirties taisyklė, kuri nugali plačią taisyklę. Abi matomos endpoint konfigūracijoje, kai žinai, kur žiūrėti.

Prisijungimas pavyko; taisyklė nesutapo

Autentifikacija atsako, kas yra naudotojas. Autorizacijos taisyklės atsako, kuriuos tinklo prefiksus ši tapatybė gali pasiekti. Naudotojas gali praeiti pirmąjį ir nepraeiti antrojo, o klientas duoda vos daugiau nei ryšį, kuris laikosi, kol kiekviena užklausa baigiasi skirtuoju laiku.

Pradėkite patvirtindami, kad endpoint turi autorizacijos taisyklę, kurios paskirtis apima nepavykstantį adresą. Jei atitinkančios taisyklės nėra, ryšys elgiasi teisingai; trūksta politikos.

Iš kur iš tikrųjų atsiranda grupės reikšmė

Naudojant Active Directory, laukas access-group saugo grupės SID, o ne rodomąjį pavadinimą. Naudojant SAML federaciją, jis saugo grupės ID arba pavadinimą, kurį sukonfigūruotas SAML grupės atributas iš tikrųjų perduoda. Nukopijuokite reikšmę iš assertion arba katalogo užklausos, o ne iš wiki puslapio.

IAM grupė yra kita valdymo plokštuma. Leidimas administruoti Client VPN endpoint nepaverčia IAM grupės naudotojo VPN grupe, o IAM grupės pavadinimo įklijavimas į lauką access-group nepaverčia jo AD SID ar SAML atributo reikšme.

Panašiai pavadinta grupė kitame kataloge nieko neįrodo. Patikrinkite endpoint autentifikacijos metodą ir naudotojo narystę arba assertion toje pačioje sistemoje.

Laimi ilgiausias prefiksas, įskaitant 0.0.0.0/0

Autorizacija vertinama pagal ilgiausią prefikso atitikimą, o visų paskirčių taisyklė vertinama paskutinė, ne pirma. Pridėkite 10.46.0.0/16 taisyklę Engineering ir 0.0.0.0/0 taisyklę visiems, ir naudotojas už Engineering ribų vis tiek negalės pasiekti 10.46.20.10 per plačią taisyklę.

Čia pataisymas gali nueiti ne taip. Ištrynus siaurą taisyklę, naudotojo prieiga atsistato, bet tas potinklis suteikiamas ir kiekvienai tapatybei, kurią apima plati taisyklė. Sudarykite grupių ir tinklų matricą prieš ką nors trindami ir užrašykite, kurios grupės turi pasiekti kurį diapazoną. Šios taisyklės tik leidžia; nėra draudimo įrašo, kuriuo iš plačios leidimo būtų išpjauta išimtis.

Pakeitimams taip pat reikia naujo ryšio, kad būtų įvertinti sąžiningai. Po taisyklių redagavimo prijunkite klientą iš naujo, tada bandykite dar kartą.

Atskirkite autorizaciją nuo duomenų kelio

Atitinkanti taisyklė nėra maršrutas. Endpoint reikia susieto potinklio ir maršrutų lentelės įrašo paskirčiai, o tikslinio ištekliaus saugos grupė turi priimti srautą. Grįžtamasis srautas ir DNS taip pat turi veikti.

Išbandykite naudotoją, kuriam turėtų pavykti, ir naudotoją, kuris turėtų likti neįleistas. Abu gali prisijungti, bet tik vienas pasiekia potinklį, ir būtent tas skirtumas yra norimas įrodymas.

Jei IP adresas veikia, o prieglobos vardas ne, pažiūrėkite į resolver prieš liesdami autorizaciją. Jei joks maršrutas neapima adreso, pataisykite susiejimą arba maršrutų lentelę. Jei paketas atvyksta, o paslauga jį atmeta, kitas sustojimas yra tos paslaugos politika. Autorizacijos matricos išplėtimas visiems naudotojams paslepia, kuris iš tų sluoksnių iš tikrųjų buvo sugedęs.

Prieš uždarydami bilietą įrašykite tapatybės šaltinį, tikslią grupės reikšmę, paskirties prefiksus ir maršrutą, kuriuo keliauja srautas. Toks įrašas paverčia kitą pranešimą apie prisijungta, bet nėra prieigos dviejų minučių palyginimu, o ne dar vienu spėjimų ratu.