AWS Client VPN баталгаажуулалт: IAM зөвшөөрөл нь нэвтрэх арга биш
Консолын зөвшөөрөл нь туннелийг баталгаажуулдаггүй. Сертификат, AD, SAML аргуудыг харьцуулж, SSM порт дамжуулалт нэг хувийн өгөгдлийн санд хэзээ тохирохыг үзээрэй.
Хэрэглэгчид AWS Client VPN төгсгөлийн цэг үүсгэх эсвэл тайлбарлах зөвшөөрөл өгөх нь түүнд энэ цэгт холбогдох боломж олгодоггүй. Эдгээр нь хоёр өөр төрлийн таних тэмдэг: IAM нь AWS API дуудлагыг удирддаг, харин төгсгөлийн цэг нь зөвхөн дээр нь тохируулсан клиент баталгаажуулалтын аргуудыг хүлээн авдаг. Тиймээс хэрэглэгч өргөн консолын эрхтэй байж, гэсэн хэдий ч VPN клиентэд үзүүлэх зүйлгүй байж болно. Төгсгөлийн цэг аль аргад итгэдэг болохыг тодорхойлж, дараа нь таны олгож буй хандалтад бүрэн туннель зөв хэлбэр мөн эсэхийг шийдээрэй.
API-ийн таних тэмдэг нь туннелийн таних тэмдэг биш
Хэн нэгэн «IAM дүр холбогдсон, тэгвэл VPN яагаад одоо ч бүтэлгүйтэж байна» гэж хэлэхэд хариулт нь ихэвчлэн холболтын урсгалын нэг ч алхам тэр дүрийг уншдаггүйд оршино. Клиент сертификат, AD хэрэглэгчийн нэр, нууц үг эсвэл SAML мэдэгдлийг үзүүлдэг. Төгсгөлийн цэг тэдгээрийн аль нэгийг баталгаажуулаад дараа нь хаяг олгодог.
IAM одоо ч чухал, зөвхөн дараа, өөр газар: төгсгөлийн цэг үүсгэх, дэд сүлжээ холбох, маршрут нийтлэх, зөвшөөрлийн дүрэм бичих нь API үйлдэл юм. Эдгээр зөвшөөрлийг шаардлагатай ажилтнуудад хязгаарлаж, хэрэглэгч бүрт төгсгөлийн цэгийн хандалтын дүрмийг дахин бичих боломж олгохгүй байгаарай.
Төгсгөлийн цэгийн дэмждэг аргуудаас сонгоно уу
AWS Client VPN нь сертификатад суурилсан харилцан баталгаажуулалт, Active Directory баталгаажуулалт, SAML-д суурилсан холбооны баталгаажуулалтыг хүлээн авдаг. Аль клиент аргыг сонгосон ч серверийн сертификат шаардлагатай бөгөөд аргуудыг хослуулсан тохиргоо нь аль нэг биш, хоёуланг нь амжилттай байхыг шаарддаг.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Сертификат нь суулгахад хамгийн хямд бөгөөд том хэмжээнд алдаа гаргахад хамгийн хялбар, учир нь хэрэглэгч бүр итгэмжлэл шаарддаг, ажлаас гарах бүрт хүчингүй болгох шаардлагатай. Лавлах баталгаажуулалт тэр амьдралын мөчлөгийг одоо байгаа системд шилжүүлдэг. Холбоо нь түүнийг таних тэмдгийн үйлчилгээ үзүүлэгчид шилжүүлж, клиентэд хөтчийн алхам нэмдэг.
Клиентийг дибаг хийхийн өмнө төгсгөлийн цэгийн өөрийн тохиргоог уншина уу. Хэрэв харилцан баталгаажуулалт нь хэрэглэгчид суурилсан аргын хажууд идэвхжсэн бол хүчинтэй сертификаттай боловч лавлах бүртгэлгүй клиент бүтэлгүйтсээр байх бөгөөд алдаа нь ихэвчлэн ерөнхий гар барилтын асуудал мэт харагддаг.
Холбоо нь хандалтын түлхүүрийг дамжуулах биш
SAML тохиргоо нь IAM хандалтын түлхүүр эсвэл хүлээн авсан дүрийн токеныг туннельд оруулдаггүй. Таних тэмдгийн үйлчилгээ үзүүлэгч хүнийг баталгаажуулж, мэдэгдэл буцаадаг бөгөөд төгсгөлийн цэг үүнийг таны тохируулсан итгэлцлийн хүрээнд хүлээн авдаг. Үүссэн сесс нь VPN сесс, AWS API сесс биш.
Энэ ялгаа нь хэн юуг оношлох боломжтойг тодорхойлдог. IdP-ийн асуудлууд ямар ч туннель байхын өмнө хөтөч эсвэл клиентийн алдаа болж илэрдэг бол туннелийн асуудлууд амжилттай мэдэгдлийн дараа илэрдэг. Аль нэг консолыг нээхийн өмнө эдгээрийн алийг нь харж байгаагаа асуугаарай.
Нэвтэрсний дараа маршрут, зөвшөөрөл одоо ч шийддэг
Баталгаажуулалт нь сессэд хаяг өгдөг; энэ нь сессэд очих газрыг өгдөггүй. Төгсгөлийн цэгийн маршрутууд нь клиентэд аль дэд сүлжээ рүү илгээхийг хэлдэг, зөвшөөрлийн дүрмүүд аль хэрэглэгчид тэдгээр дэд сүлжээний алийг нь хүрч чадахыг шийддэг, аюулгүй байдлын бүлгүүд болон зорилтын өөрийн зөвшөөрлүүд үлдсэнийг шийддэг.
Тиймээс амжилттай баталгаажсан хэрэглэгч өгөгдлийн санд хүрч чадахгүй байж болно. Дэд сүлжээний маршрутын хүснэгтийн холбоос, хэрэглэгчийн бүлгийн зөвшөөрлийн дүрэм, зорилтын аюулгүй байдлын бүлгийг энэ дарааллаар шалгаарай, учир нь тус бүр нь өөр төрлийн хугацаа дуусалт үүсгэдэг.
Нэг хувийн өгөгдлийн сангийн хувьд порт дамжуулалттай харьцуул
Хэрэв бодит ажил нь нэг хувийн өгөгдлийн санд нэг зөвшөөрөгдсөн холболт бол бүрэн сүлжээний туннель нь шаардлага биш, сонголт юм. AWS Systems Manager Session Manager нь IAM-ээр дамжуулан удирдлагатай зангилаа руу порт дамжуулалтын сесс нээж чадах бөгөөд тэр зангилаа хувийн сүлжээний өгөгдлийн санд хүрдэг. Хэрэглэгч хэзээ ч VPC хаяг авдаггүй. Удирдлагатай зангилаа нь өгөгдлийн сангийн портод хүрч чадах цорын ганц хост болж, энэ нь ихэвчлэн аюулгүй байдлын хяналт шаардсан зүйл юм. Дараа нь хэрэглэгчдэд VPN профайл биш, локал клиент болон сессийн команд хэрэгтэй.
Солилцоо нь хамрах хүрээ ба урьдчилсан нөхцөл. Порт дамжуулалтад удирдлагатай зангилаа дээрх SSM агент, тэр зангилаанаас өгөгдлийн сан хүртэлх сүлжээний хүртээмж, хэрэглэгчийн машинд Session Manager залгаас, мөн яг тэр сессийг эхлүүлэх зөвшөөрөл хэрэгтэй. Энэ нь дэд сүлжээ бүр рүү орох зам биш бөгөөд туннель шиг дурын протокол дамжуулахгүй.
Ямар ч тохиолдолд өгөгдлийн сангийн өөрийн таних тэмдгийг байранд нь үлдээгээрэй. Замыг IAM зөвшөөрсөн гэдгээс TLS шалгалт болон өгөгдлийн сангийн баталгаажуулалт алга болдоггүй бөгөөд зөвшөөрөгдсөн сесс нь хэрэглэгч ямар хүснэгт уншиж болох тухай юу ч хэлдэггүй.
Хамрах хүрээ, амьдралын мөчлөгөөр сонгоно уу: олон хэрэглэгчид олон очих газар хэрэгтэй бөгөөд сертификат эсвэл лавлахын амьдралын мөчлөгийг удирдаж чадвал туннель; цөөн хүнд нэг үйлчилгээ хэрэгтэй бөгөөд сүлжээний хаяг тараахыг хүсэхгүй бол дамжуулалтын сесс. Ямар ч тохиолдолд баталгаажуулалтын арга, зөвшөөрлийн дүрэм, өгөгдлийн санд нэвтрэхийг гурван тусдаа баримт болгон бүртгээрэй, учир нь тэд тусдаа бүтэлгүйтдэг.