AWS Client VPN: log masuk berjaya tetapi subnet tidak dapat dicapai

Klien anda memaparkan Connected, sijil sah, dan halaman intranet masih berakhir dengan tamat masa. Jurang itu hampir tidak pernah berkaitan pengesahan. AWS Client VPN membenarkan destinasi secara berasingan daripada log masuk, dan dua punca biasa ialah nilai kumpulan yang tidak sepadan dengan apa yang dihantar oleh penyedia identiti dan peraturan destinasi yang lebih khusus yang mengalahkan peraturan luas. Kedua-duanya kelihatan dalam konfigurasi endpoint apabila anda tahu di mana untuk melihat.

Log masuk berjaya; peraturan tidak sepadan

Pengesahan menjawab siapa pengguna. Peraturan kebenaran menjawab awalan rangkaian mana yang boleh dicapai oleh identiti itu. Pengguna boleh lulus yang pertama dan gagal pada yang kedua, dan klien hanya memberi anda sambungan yang kekal sementara setiap permintaan berakhir dengan tamat masa.

Mulakan dengan mengesahkan bahawa endpoint mempunyai peraturan kebenaran yang destinasinya mengandungi alamat yang gagal. Jika tiada peraturan yang sepadan, sambungan berkelakuan betul; dasar itulah yang hilang.

Dari mana nilai kumpulan sebenarnya datang

Dengan Active Directory, medan access-group menyimpan SID kumpulan, bukan nama paparannya. Dengan persekutuan SAML, medan itu menyimpan ID atau nama kumpulan yang benar-benar dibawa oleh atribut kumpulan SAML yang dikonfigurasikan. Salin nilai itu daripada assertion atau carian direktori, bukan daripada halaman wiki.

Kumpulan IAM ialah satah kawalan yang berbeza. Kebenaran untuk mentadbir endpoint Client VPN tidak menjadikan kumpulan IAM sebagai kumpulan VPN pengguna, dan menampal nama kumpulan IAM ke dalam medan access-group tidak menterjemahkannya kepada SID AD atau nilai atribut SAML.

Kumpulan dengan nama serupa dalam direktori lain tidak membuktikan apa-apa. Semak kaedah pengesahan endpoint dan keahlian atau assertion pengguna dalam sistem yang sama.

Awalan terpanjang menang, termasuk 0.0.0.0/0

Kebenaran dinilai mengikut padanan awalan terpanjang, dan peraturan untuk semua destinasi dinilai terakhir, bukan dahulu. Tambah peraturan 10.46.0.0/16 untuk Engineering dan peraturan 0.0.0.0/0 untuk semua, dan pengguna di luar Engineering masih tidak dapat mencapai 10.46.20.10 melalui peraturan luas itu.

Di sinilah pembetulan boleh tersasar. Memadam peraturan sempit memulihkan akses pengguna dan juga memberikan subnet itu kepada setiap identiti yang diliputi peraturan luas. Bina matriks kumpulan-ke-rangkaian sebelum memadam apa-apa, dan catat kumpulan mana yang sepatutnya mencapai julat mana. Peraturan ini hanya membenarkan; tiada entri penolakan untuk memotong pengecualian daripada kebenaran luas.

Perubahan juga memerlukan sambungan baharu untuk dinilai secara adil. Sambung semula klien selepas menyunting peraturan, kemudian uji semula.

Asingkan kebenaran daripada laluan data

Peraturan yang sepadan bukan laluan. Endpoint memerlukan subnet berkaitan dan entri jadual laluan untuk destinasi, dan kumpulan keselamatan sumber sasaran mesti menerima trafik. Trafik balasan dan DNS juga mesti berfungsi.

Uji pengguna yang sepatutnya berjaya dan pengguna yang sepatutnya kekal dikecualikan. Kedua-duanya boleh log masuk sementara hanya seorang mencapai subnet, dan perbezaan itulah bukti yang anda mahukan.

Jika alamat IP berfungsi tetapi nama hos tidak, lihat resolver sebelum menyentuh kebenaran. Jika tiada laluan meliputi alamat itu, betulkan perkaitan atau jadual laluan. Jika paket tiba dan perkhidmatan menolaknya, dasar perkhidmatan itu ialah perhentian seterusnya. Meluaskan matriks kebenaran kepada semua pengguna menyembunyikan lapisan mana yang sebenarnya rosak.

Sebelum menutup tiket, catat sumber identiti, nilai kumpulan yang tepat, awalan destinasi dan laluan yang membawa trafik. Catatan itu menjadikan laporan bersambung tetapi tiada akses yang seterusnya sebagai perbandingan dua minit dan bukan satu lagi pusingan tekaan.