AWS Client VPN konness, iżda EC2 xorta waħda ma jwieġeb

Il-laptop tiegħi wera konness. Il-klijent AWS Client VPN wera l-istat aħdar tiegħu, l-endpoint irreġistra sessjoni, u xorta ma stajtx niftaħ port MongoDB fuq istanza EC2 f'subnet privat. Xejn ma kien ovvjament miksur: iċ-ċertifikat kien validu, il-profil ġie mill-console, u t-tunnel kien iġorr it-traffiku. L-iżball kien tiegħi, għax kont qed naqra konness bħala awtorizzat.

Id-dħul iwieġeb għal mistoqsija waħda biss: tista' din l-identità tistabbilixxi sessjoni? Kollox wara dan jiġi deċiż minn regoli separati li qatt ma jaraw iċ-ċertifikat tiegħek. Sessjoni li tawtentika u pakkett li jasal huma żewġ suċċessi differenti, u l-vojt bejniethom huwa fejn jgħixu ħafna mir-rapporti tat-tip il-VPN hija fuq imma l-host mhux aċċessibbli.

Il-verifiki hawn taħt huma l-ordni li nuża bħalissa.

X'jipprova verament sessjoni konnessa

Matul il-handshake l-endpoint jivvalida ċ-ċertifikat tal-klijent kontra t-trust store tiegħu, jew iderieġi l-browser lejn il-fornitur tal-identità tiegħek meta SAML ikun ikkonfigurat. Jekk dan jgħaddi, il-klijent jirċievi indirizz mill-CIDR tal-klijent tal-endpoint u l-console turi konnessjoni attiva. F'ebda punt ta' dan l-iskambju ma jiġi mistoqsi jekk tistax tasal 10.0.4.17 fuq il-port 27017.

Permess għal destinazzjoni huwa oġġett separat fuq l-endpoint. Kull fluss jiġi mqabbel mar-regoli tal-awtorizzazzjoni, u kull wieħed iqabbel CIDR tad-destinazzjoni mal-grupp li lilu jingħata r-regola. Meta ebda regola ma tkopri d-destinazzjoni, l-endpoint jaċċetta s-sessjoni u jarmi t-traffiku. M'hemmx banner, m'hemmx loop ta' konnessjoni mill-ġdid, u xejn fl-interfaċċa tal-klijent li jgħid miċħud.

Qabbel ir-regola tal-awtorizzazzjoni mar-riżors, mhux mal-VPC

Elenca r-regoli u qegħedhom ħdejn l-indirizz li l-istanza fil-fatt għandha:

aws ec2 describe-client-vpn-authorization-rules \
  --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6a7b8

L-output juri CIDR tad-destinazzjoni u ID tal-grupp għal kull regola. Fih jinħbew żewġ fallimenti. Ir-regola tista' tawtorizza 10.0.0.0/16 waqt li l-istanza tinsab f'VPC peerata fuq 10.1.0.0/16; ir-rotta tal-peering teżisti, imma ħadd ma kiteb regola ta' awtorizzazzjoni għat-tieni firxa. Jew ir-regola tindika grupp tad-direttorju li l-utent jingħaqad miegħu fid-direttorju imma mhux fil-grupp li tevalwa l-endpoint.

Ikteb l-aktar regola dejqa li tkopri d-destinazzjoni, u żid tieni waħda biss meta t-tieni CIDR ikun verament meħtieġ. Regola wiesgħa 0.0.0.0/0 minn bidu malajr taħdem, u għalhekk tibqa' ħajja sal-produzzjoni u taħbi l-mudell.

Żewġ tabelli tar-rotot jiddeċiedu jekk il-pakkett jiċċaqlaqx

Rotta tal-endpoint tqabbel CIDR tad-destinazzjoni ma' wieħed mis-subnets li l-endpoint huwa assoċjat miegħu. Dan huwa nofs triq. It-tabella tar-rotot tas-subnet stess għadha trid taf kif tibgħat il-pakkett 'il quddiem, u dan jgħodd fil-mument li d-destinazzjoni tkun wara konnessjoni peering, transit gateway jew firxa on-premises li tista' tintlaħaq permezz ta' tunnel site-to-site.

aws ec2 describe-client-vpn-routes \
  --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6a7b8

Fittex rotta li d-destinazzjoni tagħha taqbel mal-CIDR tar-riżors u li l-mira tagħha hija subnet assoċjat. Jekk ir-rotta hija nieqsa, żidha. Jekk tinsab u l-host għadu sieket, il-vojt huwa fuq in-naħa tal-VPC, għalhekk qabbel mat-tabella tar-rotot tas-subnet tal-assoċjazzjoni.

Setting wieħed fuq in-naħa tal-klijent ikisser ir-routing mingħajr ma jkisser it-tunnel: profil li fih route-nopull. Id-direttiva tgħid lill-klijent ibbażat fuq OpenVPN biex jinjora r-rotot li l-server jimbuttahom, u b'hekk l-interfaċċa titla' biss bl-indirizz tal-endpoint stess u d-destinazzjoni sempliċement m'għandhiex rotta. Iċċekkja b'ip route show fuq Linux jew netstat -rn fuq macOS jekk teżistix rotta mill-interfaċċa tun. Jekk le, neħħi route-nopull mill-profil esportat u erġa' qabbad sabiex ir-rotot imbuttati jiġu applikati.

Il-gruppi tas-sigurtà ma jarawx l-indirizz tal-klijent tiegħek

Dan huwa l-parti li kelli ħażin għal wara nofsinhar sħiħ. Għal endpoint IPv4 assoċjat ma' subnet, is-servizz jittraduċi l-indirizz tas-sors tal-klijent fl-indirizz tal-interfaċċa tan-netwerk tal-endpoint f'dak is-subnet. Il-pakkett li jasal għall-istanza ma jġorrx l-indirizz li wera l-klijent tiegħek, għalhekk regola tal-grupp tas-sigurtà li tippermetti l-pool tal-klijenti, ngħidu 172.16.0.0/22, ma taqbel ma' xejn.

Ippermetti l-port mill-grupp tas-sigurtà tal-endpoint, li huwa marbut mal-interfaċċa tal-assoċjazzjoni, mhux mill-CIDR tal-klijent. Li tirreferi għall-grupp huwa aktar dejjiemi milli tixtri indirizz iebes, għax l-indirizz tal-interfaċċa mhuwiex tiegħek biex tikkontrollah. L-ACLs tan-netwerk m'għandhomx stat, għalhekk fejn hemm entrati personalizzati, kemm id-direzzjoni tad-dħul kif ukoll dik tal-ħruġ iridu jippermettu l-fluss.

Irqaq ukoll mal-indirizz privat tal-istanza. IP pubbliku jieħu l-pakkett 'il barra mill-VPC u jdaħħlu lura permezz ta' triq oħra b'regoli oħra, għalhekk test fuq l-indirizz pubbliku ma jgħid xejn dwar it-triq privata.

Ordni ta' iżolament li jieqaf fl-ewwel falliment

Għaddi minn dawn fl-ordni u waqaf fejn wieħed ifalli. Kull pass jeskludi saff wieħed minflok kollha.

1. Ikkonferma liema identità użat is-sessjoni u liema grupp tevalwa l-endpoint. Ċertifikat minn trust store wieħed mhuwiex l-istess prinċipal bħal dikjarazzjoni SAML mid-direttorju.
2. Ikkonferma li regola ta' awtorizzazzjoni tkopri l-CIDR tar-riżors għal dak il-grupp.
3. Ikkonferma li teżisti rotta tal-endpoint u li timmira subnet assoċjat, imbagħad li t-tabella tar-rotot tas-subnet tista' tibgħat aktar 'il quddiem.
4. Ikkonferma li l-grupp tas-sigurtà jippermetti l-port mill-interfaċċa tal-endpoint u mhux mill-pool tal-klijenti.
5. Ittestja minn ġewwa l-VPC, b'sessjoni SSM fuq istanza oħra fl-istess subnet, biex tifred problema tal-applikazzjoni minn problema tat-triq tal-klijent.

Meta l-passi mhumiex deċiżivi, din it-tabella hija dik li nistrieħ fuqha:

Żewġ dettalji tal-kont jipproduċu sintomi li jidhru bħal fallimenti tal-permess. Kull utent jeħtieġ ċertifikat tal-klijent separat; li taqsam wieħed bejn żewġ magni jagħmel is-sessjonijiet iċaqalqu lil xulxin, u r-riżultat huwa loop ta' konnessjoni mill-ġdid minflok ċaħda. Meta jinħoloq endpoint ġdid, il-console turi isem DNS li xi verżjonijiet tal-klijent jaċċettaw biss bil-prefiss każwali muri fil-paġna tal-endpoint, għalhekk ikkopja l-isem sħiħ minflok terġa' tibnih.

Jekk il-ħames pass iħallik imblukkat, iġbed il-log tal-konnessjonijiet tal-endpoint u aqra l-entrati tal-awtorizzazzjoni qabel ma tbiddel xejn. Il-log isemmi d-destinazzjoni li ġiet iċċekkjata u r-regola li qabblet jew ma qabblitx, u dan iċekken il-mistoqsija b'erba' saffi għal tweġiba waħda.