AWS Client VPN: ലോഗിൻ വിജയിക്കുന്നു, പക്ഷേ സബ്നെറ്റിൽ എത്തുന്നില്ല

നിങ്ങളുടെ ക്ലയന്റ് Connected എന്ന് പറയുന്നു, സർട്ടിഫിക്കറ്റ് സാധുവാണ്, എന്നിട്ടും ഇൻട്രാനെറ്റ് പേജ് ഇപ്പോഴും സമയപരിധിയിൽ അവസാനിക്കുന്നു. ഈ വിടവ് മിക്കവാറും ഒരിക്കലും പ്രാമാണീകരണമല്ല. AWS Client VPN ലക്ഷ്യസ്ഥാനങ്ങൾക്ക് ലോഗിനിൽ നിന്ന് വേറിട്ട് അധികാരം നൽകുന്നു, സാധാരണ രണ്ട് കാരണങ്ങൾ ഇവയാണ്: ഐഡന്റിറ്റി പ്രൊവൈഡർ അയച്ചതുമായി പൊരുത്തപ്പെടാത്ത ഗ്രൂപ്പ് മൂല്യം, വിശാല നിയമത്തെ മറികടക്കുന്ന കൂടുതൽ നിർദ്ദിഷ്ട ലക്ഷ്യ നിയമം. എവിടെ നോക്കണമെന്ന് അറിഞ്ഞാൽ രണ്ടും endpoint കോൺഫിഗറേഷനിൽ കാണാം.

ലോഗിൻ വിജയിച്ചു; നിയമം പൊരുത്തപ്പെട്ടില്ല

പ്രാമാണീകരണം ഉപയോക്താവ് ആരാണെന്ന് ഉത്തരം നൽകുന്നു. അധികാര നിയമങ്ങൾ ആ ഐഡന്റിറ്റിക്ക് ഏത് നെറ്റ്‌വർക്ക് പ്രിഫിക്സുകളിൽ എത്താമെന്ന് ഉത്തരം നൽകുന്നു. ഉപയോക്താവിന് ആദ്യത്തേത് കടക്കാം, രണ്ടാമത്തേതിൽ പരാജയപ്പെടാം, ഓരോ അഭ്യർത്ഥനയും സമയപരിധിയിൽ അവസാനിക്കുമ്പോൾ ക്ലയന്റ് നിൽക്കുന്ന ഒരു കണക്ഷനിൽ കൂടുതലൊന്നും തരുന്നില്ല.

പരാജയപ്പെടുന്ന വിലാസം ലക്ഷ്യത്തിൽ ഉൾക്കൊള്ളുന്ന അധികാര നിയമം endpoint-നുണ്ടോ എന്ന് സ്ഥിരീകരിച്ച് തുടങ്ങുക. പൊരുത്തപ്പെടുന്ന നിയമം ഇല്ലെങ്കിൽ കണക്ഷൻ ശരിയായി പെരുമാറുന്നു; ഇല്ലാത്തത് നയമാണ്.

ഗ്രൂപ്പ് മൂല്യം യഥാർത്ഥത്തിൽ എവിടെനിന്ന് വരുന്നു

Active Directory-യിൽ access-group ഫീൽഡ് ഗ്രൂപ്പിന്റെ പ്രദർശന നാമമല്ല, SID ആണ് സൂക്ഷിക്കുന്നത്. SAML ഫെഡറേഷനിൽ, കോൺഫിഗർ ചെയ്ത SAML ഗ്രൂപ്പ് ആട്രിബ്യൂട്ട് യഥാർത്ഥത്തിൽ വഹിക്കുന്ന ഗ്രൂപ്പ് ID അല്ലെങ്കിൽ പേരാണ് സൂക്ഷിക്കുന്നത്. മൂല്യം assertion-ൽ നിന്നോ ഡയറക്ടറി തിരയലിൽ നിന്നോ പകർത്തുക, വിക്കി പേജിൽ നിന്നല്ല.

IAM ഗ്രൂപ്പ് മറ്റൊരു നിയന്ത്രണ തലമാണ്. Client VPN endpoint കൈകാര്യം ചെയ്യാനുള്ള അനുമതി IAM ഗ്രൂപ്പിനെ ഉപയോക്താവിന്റെ VPN ഗ്രൂപ്പാക്കുന്നില്ല, access-group ഫീൽഡിൽ IAM ഗ്രൂപ്പ് നാമം ഒട്ടിക്കുന്നത് അതിനെ AD SID ആക്കുകയോ SAML ആട്രിബ്യൂട്ട് മൂല്യമാക്കുകയോ ചെയ്യുന്നില്ല.

മറ്റൊരു ഡയറക്ടറിയിലെ സമാന നാമമുള്ള ഗ്രൂപ്പ് ഒന്നും തെളിയിക്കുന്നില്ല. endpoint-ന്റെ പ്രാമാണീകരണ രീതിയും അതേ സിസ്റ്റത്തിലെ ഉപയോക്താവിന്റെ അംഗത്വമോ assertion-ഓ പരിശോധിക്കുക.

ഏറ്റവും നീളമുള്ള പ്രിഫിക്സ് വിജയിക്കുന്നു, 0.0.0.0/0 ഉൾപ്പെടെ

അധികാരം ഏറ്റവും നീളമുള്ള പ്രിഫിക്സ് പൊരുത്തപ്പെടലിലൂടെ വിലയിരുത്തപ്പെടുന്നു, എല്ലാ ലക്ഷ്യങ്ങളുടെയും നിയമം ആദ്യമല്ല, അവസാനമാണ് വിലയിരുത്തുന്നത്. Engineering-ന് 10.46.0.0/16 നിയമവും എല്ലാവർക്കും 0.0.0.0/0 നിയമവും ചേർത്താലും Engineering-ന് പുറത്തുള്ള ഉപയോക്താവിന് വിശാല നിയമത്തിലൂടെ 10.46.20.10-ൽ എത്താനാകില്ല.

ഇവിടെയാണ് പരിഹാരം തെറ്റിപ്പോകാം. ഇടുങ്ങിയ നിയമം ഇല്ലാതാക്കുന്നത് ഉപയോക്താവിന്റെ ആക്സസ് തിരികെ നൽകുകയും വിശാല നിയമം ഉൾക്കൊള്ളുന്ന ഓരോ ഐഡന്റിറ്റിക്കും ആ സബ്നെറ്റ് നൽകുകയും ചെയ്യുന്നു. എന്തെങ്കിലും ഇല്ലാതാക്കുന്നതിന് മുൻപ് ഗ്രൂപ്പ്-ജാലക മാട്രിക്സ് നിർമ്മിക്കുക, ഏത് ഗ്രൂപ്പ് ഏത് ശ്രേണിയിൽ എത്തണമെന്ന് എഴുതിവയ്ക്കുക. ഈ നിയമങ്ങൾ അനുമതി മാത്രം നൽകുന്നു; വിശാല അനുമതിയിൽ നിന്ന് ഒഴിവ് മുറിച്ചെടുക്കാൻ നിരാകരണ എൻട്രി ഇല്ല.

മാറ്റങ്ങൾ നീതിപൂർവ്വം വിലയിരുത്താൻ പുതിയ കണക്ഷനും വേണം. നിയമങ്ങൾ തിരുത്തിയ ശേഷം ക്ലയന്റ് വീണ്ടും ബന്ധിപ്പിച്ച് വീണ്ടും പരീക്ഷിക്കുക.

അധികാരത്തെ ഡാറ്റ പാതയിൽ നിന്ന് വേർതിരിക്കുക

പൊരുത്തപ്പെടുന്ന നിയമം ഒരു റൂട്ടല്ല. endpoint-ന് ബന്ധിപ്പിച്ച സബ്നെറ്റും ലക്ഷ്യത്തിനുള്ള റൂട്ട് ടേബിൾ എൻട്രിയും വേണം, ലക്ഷ്യ വിഭവത്തിന്റെ സെക്യൂരിറ്റി ഗ്രൂപ്പ് ട്രാഫിക് സ്വീകരിക്കണം. തിരിച്ചുള്ള ട്രാഫിക്കും DNS-ഉം പ്രവർത്തിക്കണം.

വിജയിക്കേണ്ട ഉപയോക്താവിനെയും പുറത്തു നിൽക്കേണ്ട ഉപയോക്താവിനെയും പരീക്ഷിക്കുക. ഇരുവർക്കും ലോഗിൻ ചെയ്യാം, പക്ഷേ ഒരാൾ മാത്രം സബ്നെറ്റിൽ എത്തുന്നു, ആ വ്യത്യാസമാണ് നിങ്ങൾക്ക് വേണ്ട തെളിവ്.

IP വിലാസം പ്രവർത്തിക്കുകയും ഹോസ്റ്റ്നാമം പ്രവർത്തിക്കാതിരിക്കുകയും ചെയ്താൽ അധികാരത്തിൽ തൊടുന്നതിന് മുൻപ് resolver നോക്കുക. ഒരു റൂട്ടും വിലാസം ഉൾക്കൊള്ളുന്നില്ലെങ്കിൽ ബന്ധിപ്പിക്കലോ റൂട്ട് ടേബിളോ ശരിയാക്കുക. പാക്കറ്റ് എത്തി സേവനം അത് നിരാകരിക്കുന്നുവെങ്കിൽ അടുത്ത ഇടം ആ സേവനത്തിന്റെ നയമാണ്. അധികാര മാട്രിക്സ് എല്ലാ ഉപയോക്താക്കളിലേക്കും വിപുലീകരിക്കുന്നത് ഏത് പാളിയാണ് യഥാർത്ഥത്തിൽ തകർന്നതെന്ന് മറയ്ക്കുന്നു.

ടിക്കറ്റ് അടയ്ക്കുന്നതിന് മുൻപ് ഐഡന്റിറ്റി ഉറവിടം, കൃത്യമായ ഗ്രൂപ്പ് മൂല്യം, ലക്ഷ്യ പ്രിഫിക്സുകൾ, ട്രാഫിക് കൊണ്ടുപോകുന്ന റൂട്ട് എന്നിവ രേഖപ്പെടുത്തുക. ആ രേഖ അടുത്ത ബന്ധിപ്പിച്ചു പക്ഷേ ആക്സസ് ഇല്ല എന്ന റിപ്പോർട്ടിനെ മറ്റൊരു ഊഹക്കച്ചവടത്തിനു പകരം രണ്ട് മിനിറ്റത്തെ താരതമ്യമാക്കി മാറ്റുന്നു.