Повремен пристап преку AWS Client VPN: проверете ја секоја поврзана подмрежа

Корисник се поврзува, ја отвора внатрешната апликација и добива одговор; колега на истата крајна точка добива истекување на времето од идентичен лаптоп на истиот Wi-Fi. Оваа шема е потпис на крајна точка на client VPN со повеќе од една поврзана подмрежа, каде патеките не се еквивалентни. Ова го следам од конзолата нанадвор, бидејќи два таба одлучуваат дали остатокот од истрагата вреди. Ништо во конфигурацијата на клиентот не го објаснува тоа.

Започнете од крајната точка и наведете ги асоцијациите

Во конзолата за VPC отворете Client VPN endpoints, изберете ја крајната точка и прочитајте го табот Associations. Секоја асоцијација е подмрежа во зона на достапност, а клиентот слетува на онаа што услугата ја избира кога се гради врската. Забележете ги ID-а на подмрежите и табелата со рути што секоја навистина ја користи, бидејќи тие две листи се споредбата што претстои да ја направите.

Ако крајната точка покажува само една асоцијација, оваа теорија е погрешна и клиентот е подобриот осомничен.

Споредете ја табелата со рути на крајната точка со секоја асоцијација

Отворете го табот Route table на истата крајна точка. Секој одредишен CIDR таму има цел, а кај client VPN целта е асоцијација, а не порта. AWS бара запис за одредиште за секоја поврзана подмрежа, па рута што цели само на една од нив го прави пристапот зависен од тоа каде слетала сесијата. Проверете го одредиштето што навистина ви е важно, потоа неговото правило за авторизација, бидејќи рутата го дава патот, а правилото одлучува кој смее да го користи.

Откако ќе ги табелирате двата слоја, дефектот тешко се пропушта.

Вториот ред е целиот дефект во повеќето тикети. Рутата на крајната точка постои, па никој не гледа понатаму, и пакетот умира еден скок подоцна внатре во VPC-то.

Следете ја секоја подмрежа во нејзината ефективна табела со рути

Подмрежа без експлицитна асоцијација со табела со рути ја наследува главната табела на VPC-то. Читајте ја табелата што навистина е на сила, не онаа чие име изгледа точно, и споредете одредиште и цел наместо ознаката во редот.

Водичот на AWS за повремен пристап го опишува ова како покриеност со рути низ асоцијациите, што е точниот модел. Крајната точка го носи пакетот до подмрежа, а табелата на таа подмрежа сè уште мора да знае каде живее мрежата на апликацијата.

Поправете го редот што недостасува во табелата што го поседува. Копирањето на цела табела со рути од работна подмрежа ги копира и изборите за интернет, апарат и изолација што никогаш не биле наменети за оваа, и таа размена обично е полоша од прекинот со кој почнавте.

Проверете ги правилата за авторизација, потоа патот назад

Правилата за авторизација се по одредиште и по група и се оценуваат одделно од рутите. Одредиште со рути насекаде но без правило за групата на корисникот се однесува како црна дупка со табела со рути што изгледа здрава.

Патот назад заслужува исто внимание. Peering врската бара рута во VPC-то на апликацијата што покажува назад кон CIDR-от на клиентот, правила на безбедносни групи што го дозволуваат сообраќајот на двата краја и мрежни ACL-а што не го отфрлаат. Еднонасочната достапност, каде ping работи а ракувањето TCP не, обично укажува на ACL или безбедносна група, а не на VPN-от.

Сопствените безбедносни групи на крајната точка стојат на еластичните мрежни интерфејси на асоцијацијата, па правило што ја дозволува портата на апликацијата од CIDR-от на клиентот мора да биде прикачено на асоцијацијата, не само на примерокот.

Проверете со повторно поврзување, а не со едно среќно барање

Со split tunnel, рутите на крајната точка се испраќаат кога се воспоставува врската, па променетиот сет на рути никогаш не стигнува до клиент што останува поврзан. Исклучете се и поврзете се повторно преку поддржаниот клиент, потоа потврдете дека новите рути се присутни на машината.

На крајот, поврзете го дневникот на врски со адресата што клиентот ја добил и повторете го тестот доволно пати за да погодите повеќе од една асоцијација. Едно успешно барање по поправка докажува дека една патека работи, а тикетот беше за другата.