AWS Client VPN: нэвтрэлт амжилттай боловч дэд сүлжээнд хүрэхгүй
AWS Client VPN-д амжилттай нэвтрэх нь дэд сүлжээ бүрт зөвшөөрөл өгнө гэсэн үг биш. Хандалтыг өргөтгөхийн өмнө бүлгийн утга болон хамгийн тодорхой очих газрын дүрмийг шалгана уу.
Таны клиент Connected гэж харуулж, сертификат хүчинтэй байгаа ч интранет хуудас хугацаа дуусахаар төгсдөг. Энэ зөрүү бараг хэзээ ч баталгаажуулалт биш. AWS Client VPN очих газруудыг нэвтрэлтээс тусдаа зөвшөөрдөг бөгөөд ердийн хоёр шалтгаан нь таних тэмдгийн нийлүүлэгчийн илгээсэнтэй таарахгүй бүлгийн утга, өргөн дүрмийг дийлдэг илүү тодорхой очих газрын дүрэм юм. Хаанаас харахаа мэдвэл хоёулаа endpoint-ийн тохиргоонд харагдана.
Нэвтрэлт амжилттай болсон; дүрэм таарсангүй
Баталгаажуулалт хэрэглэгч хэн болохыг хариулна. Зөвшөөрлийн дүрмүүд тухайн таних тэмдэг ямар сүлжээний угтварт хүрч болохыг хариулна. Хэрэглэгч эхнийхээр давж, хоёр дахьд нь бүтэлгүйтэж болох бөгөөд клиент танд хүсэлт бүр хугацаа дуусахад хүрэх хооронд зогсож байгаа холболтоос өөр юу ч өгөхгүй.
Бүтэлгүйтэж буй хаягийг очих газартаа агуулсан зөвшөөрлийн дүрэм endpoint-д байгаа эсэхийг баталгаажуулж эхэл. Тохирох дүрэм байхгүй бол холболт зөв ажиллаж байгаа; дутагдаж байгаа нь бодлого.
Бүлгийн утга үнэндээ хаанаас ирдэг
Active Directory-д access-group талбар нь бүлгийн харуулах нэрийг биш, SID-ийг хадгална. SAML холбоонд тохируулсан SAML бүлгийн атрибут үнэхээр дамжуулдаг бүлгийн ID эсвэл нэрийг хадгална. Утгыг assertion эсвэл лавлах хайлтаас хуулж ав, вики хуудаснаас биш.
IAM бүлэг нь өөр удирдлагын хавтгай. Client VPN endpoint-ийг удирдах зөвшөөрөл IAM бүлгийг хэрэглэгчийн VPN бүлэг болгодоггүй бөгөөд access-group талбарт IAM бүлгийн нэрийг наахад тэр нь AD SID эсвэл SAML атрибутын утга болдоггүй.
Өөр лавлах дахь ижил нэртэй бүлэг юуг ч батлахгүй. Endpoint-ийн баталгаажуулалтын арга болон мөн тэр систем дэх хэрэглэгчийн гишүүнчлэл эсвэл assertion-ыг шалга.
Хамгийн урт угтвар ялна, үүнд 0.0.0.0/0 орно
Зөвшөөрөл нь хамгийн урт угтварын тохирлоор үнэлэгдэх бөгөөд бүх очих газрын дүрэм нь эхэнд биш, хамгийн сүүлд үнэлэгддэг. Engineering-д 10.46.0.0/16 дүрэм, бүгдэд 0.0.0.0/0 дүрэм нэмсэн ч Engineering-ээс гадуур хэрэглэгч өргөн дүрмээр 10.46.20.10-д хүрч чадахгүй.
Яг энд засвар буруу явж болно. Нарийн дүрмийг устгавал хэрэглэгчийн хандалт сэргэхээс гадна тэр дэд сүлжээг өргөн дүрмээр хамаарах бүх таних тэмдэгт өгнө. Ямар нэг зүйлийг устгахаас өмнө бүлэг-сүлжээний матрицыг барьж, аль бүлэг аль хүрээнд хүрэх ёстойг бичиж үлдээ. Эдгээр дүрэм зөвхөн зөвшөөрдөг; өргөн зөвшөөрлөөс үл хамаарах зүйл хайчлах хориглох бичлэг байхгүй.
Өөрчлөлтийг шударгаар үнэлэхийн тулд шинэ холболт ч хэрэгтэй. Дүрэм засны дараа клиентийг дахин холбож, дараа нь дахин турш.
Зөвшөөрлийг өгөгдлийн замаас тусгаарлана
Тохирох дүрэм бол зам биш. Endpoint-д холбогдсон дэд сүлжээ болон очих газрын маршрутын хүснэгтийн бичлэг хэрэгтэй бөгөөд зорилтот нөөцийн аюулгүйн бүлэг трафикийг хүлээн авах ёстой. Буцах трафик болон DNS ч ажиллах ёстой.
Амжилттай болох ёстой хэрэглэгч болон гадуур үлдэх ёстой хэрэглэгчийг турш. Хоёулаа нэвтэрч чадах боловч зөвхөн нэг нь дэд сүлжээнд хүрнэ, тэр ялгаа нь таны хүссэн нотолгоо юм.
IP хаяг ажиллаад хост нэр ажиллахгүй бол зөвшөөрөлд хүрэхийн өмнө resolver-ыг хар. Ямар ч маршрут хаягийг хамрахгүй бол холболт эсвэл маршрутын хүснэгтийг зас. Багц ирээд үйлчилгээ түүнийг татгалзвал дараагийн зогсоол нь тэр үйлчилгээний бодлого. Зөвшөөрлийн матрицыг бүх хэрэглэгч рүү өргөтгөх нь аль давхарга үнэхээр эвдэрснийг нуудаг.
Тасалбарыг хаахаас өмнө таних тэмдгийн эх сурвалж, бүлгийн яг утга, очих газрын угтвар, трафик дамжуулж буй маршрутыг тэмдэглэ. Тэр бичлэг дараагийн холбогдсон боловч хандалт байхгүй гэсэн мэдээллийг дахин нэг таамаглалын тойргийн оронд хоёр минутын харьцуулалт болгоно.