AWS Client VPN: लॉगिन यशस्वी होते, पण सबनेटपर्यंत पोहोचता येत नाही

तुमचा क्लायंट Connected दाखवतो, प्रमाणपत्र वैध आहे, आणि इंट्रानेट पान अजूनही कालबाह्य होऊन थांबते. हे अंतर जवळपास कधीही प्रमाणीकरण नसते. AWS Client VPN लॉगिनपासून वेगळे गंतव्यांना अधिकृत करते, आणि नेहमीची दोन कारणे म्हणजे ओळख पुरवठादाराने पाठवलेल्याशी न जुळणारे गट मूल्य आणि विस्तृत नियमावर मात करणारा अधिक विशिष्ट गंतव्य नियम. कुठे पाहावे हे माहीत असल्यास दोन्ही endpoint संरचनेत दिसतात.

लॉगिन यशस्वी झाले; नियम जुळला नाही

प्रमाणीकरण सांगते वापरकर्ता कोण आहे. अधिकृतता नियम सांगतात ती ओळख कोणत्या नेटवर्क प्रीफिक्सपर्यंत पोहोचू शकते. वापरकर्ता पहिल्यातून जाऊ शकतो आणि दुसऱ्यात अपयशी होऊ शकतो, आणि प्रत्येक विनंती कालबाह्य होत असताना क्लायंट तुम्हाला फक्त टिकून राहणारे कनेक्शन देतो.

अपयशी पत्ता गंतव्यात असलेला अधिकृतता नियम endpointला आहे का याची खात्री करून सुरुवात करा. जुळणारा नियम नसल्यास, कनेक्शन योग्य वागत आहे; कमतरता धोरणाची आहे.

गटाचे मूल्य प्रत्यक्षात कुठून येते

Active Directory मध्ये, access-group फील्ड गटाचे प्रदर्शन नाव नाही तर त्याचे SID ठेवते. SAML फेडरेशनमध्ये, ते संरचित SAML गट गुणधर्म प्रत्यक्षात वाहून नेणारे गट ID किंवा नाव ठेवते. मूल्य assertion किंवा डिरेक्टरी शोधातून कॉपी करा, विकी पानावरून नाही.

IAM गट हे वेगळे नियंत्रण स्तर आहे. Client VPN endpoint चालवण्याची परवानगी IAM गटाला वापरकर्त्याचा VPN गट बनवत नाही, आणि access-group फील्डमध्ये IAM गटाचे नाव पेस्ट केल्याने ते AD SID किंवा SAML गुणधर्म मूल्यात बदलत नाही.

दुसऱ्या डिरेक्टरीतील सारख्या नावाचा गट काहीही सिद्ध करत नाही. endpoint ची प्रमाणीकरण पद्धत आणि त्याच प्रणालीतील वापरकर्त्याचे सदस्यत्व किंवा assertion तपासा.

सर्वात लांब प्रीफिक्स जिंकते, 0.0.0.0/0 सह

अधिकृतता सर्वात लांब प्रीफिक्स जुळणीने मोजली जाते, आणि सर्व गंतव्यांचा नियम पहिल्यांदा नाही तर शेवटी मोजला जातो. Engineering साठी 10.46.0.0/16 नियम आणि सर्वांसाठी 0.0.0.0/0 नियम जोडा, तरीही Engineering बाहेरील वापरकर्ता विस्तृत नियमाने 10.46.20.10 पर्यंत पोहोचू शकणार नाही.

इथेच दुरुस्ती चुकू शकते. अरुंद नियम हटवल्याने वापरकर्त्याचा प्रवेश परत येतो आणि ते सबनेट विस्तृत नियमाने व्यापलेल्या प्रत्येक ओळखीला देखील मिळते. काहीही हटवण्यापूर्वी गट-ते-नेटवर्क मॅट्रिक्स तयार करा आणि कोणत्या गटांनी कोणत्या श्रेणीपर्यंत पोहोचायचे आहे ते लिहा. हे नियम फक्त परवानगी देतात; विस्तृत परवानगीतून अपवाद कापण्यासाठी नकार नोंद नाही.

बदलांना न्याय्य मूल्यांकनासाठी नवीन कनेक्शन देखील लागते. नियम संपादित केल्यानंतर क्लायंट पुन्हा जोडा, नंतर पुन्हा चाचणी करा.

अधिकृतता डेटा मार्गापासून वेगळी करा

जुळणारा नियम मार्ग नाही. endpoint ला संलग्न सबनेट आणि गंतव्यासाठी रूट तक्त्यातील नोंद लागते, आणि लक्ष्य संसाधनाच्या सुरक्षा गटाने रहदारी स्वीकारली पाहिजे. परतीची रहदारी आणि DNS देखील चालले पाहिजेत.

यशस्वी व्हायला हवा असा वापरकर्ता आणि बाहेर राहायला हवा असा वापरकर्ता तपासा. दोघेही लॉगिन करू शकतात पण फक्त एकच सबनेटपर्यंत पोहोचतो, आणि तोच फरक हा तुम्हाला हवा असलेला पुरावा आहे.

IP पत्ता चालतो पण होस्टनाव चालत नाही, तर अधिकृततेला हात लावण्यापूर्वी resolver पहा. कोणताही मार्ग पत्ता व्यापत नसल्यास, संलग्नता किंवा रूट तक्ता दुरुस्त करा. पॅकेट पोहोचतो आणि सेवा ते नाकारते, तर पुढचे स्थानक त्या सेवेचे धोरण आहे. अधिकृतता मॅट्रिक्स सर्व वापरकर्त्यांपर्यंत वाढवल्याने कोणता स्तर खरोखर तुटला होता हे लपते.

तिकीट बंद करण्यापूर्वी ओळखीचा स्रोत, अचूक गट मूल्य, गंतव्य प्रीफिक्स आणि रहदारी वाहून नेणारा मार्ग नोंदवा. ती नोंद पुढच्या जोडलेले पण प्रवेश नाही अहवालाचे आणखी एका अंदाजाच्या फेरीऐवजी दोन मिनिटांच्या तुलनेत रूपांतर करते.