AWS Client VPN: id-dħul jirnexxi imma s-subnet ma tintlaħaqx

Il-klijent tiegħek jgħid Connected, iċ-ċertifikat huwa validu, u l-paġna tal-intranet xorta tispiċċa b’timeout. Dan id-distakk kważi qatt mhu awtentikazzjoni. AWS Client VPN jawtorizza d-destinazzjonijiet separatament mid-dħul, u ż-żewġ kawżi tas-soltu huma valur ta’ grupp li ma jaqbilx ma’ dak li bagħat il-fornitur tal-identità u regola tad-destinazzjoni aktar speċifika li tegħleb ir-regola wiesgħa. It-tnejn jidhru fil-konfigurazzjoni tal-endpoint meta tkun taf fejn tħares.

Id-dħul irnexxa; ir-regola ma qabblitx

L-awtentikazzjoni twieġeb min hu l-utent. Ir-regoli tal-awtorizzazzjoni iwieġbu liema prefissi tan-netwerk tista’ tilħaq dik l-identità. Utent jista’ jgħaddi mill-ewwel u jfalli fit-tieni, u l-klijent ma jagħtik ħafna aktar minn konnessjoni li tibqa’ miftuħa waqt li kull talba tispiċċa b’timeout.

Ibda billi tikkonferma li l-endpoint għandu regola ta’ awtorizzazzjoni li d-destinazzjoni tagħha fiha l-indirizz li qed ifalli. Jekk m’hemmx regola li taqbel, il-konnessjoni qed iġġib ruħha sewwa; il-politika hija dik li tongos.

Minn fejn jiġi tassew il-valur tal-grupp

Ma’ Active Directory, il-qasam access-group iżomm is-SID tal-grupp, mhux l-isem tal-wiri tiegħu. Mal-federazzjoni SAML, iżomm l-ID jew l-isem tal-grupp li l-attribut tal-grupp SAML konfigurat fil-fatt iġorr. Ikkopja l-valur mill-assertion jew mit-tfittxija fid-direttorju, mhux minn paġna wiki.

Grupp IAM huwa pjan ta’ kontroll differenti. Il-permess li tamministra endpoint tal-Client VPN ma jagħmilx grupp IAM il-grupp VPN tal-utent, u t-twaħħil ta’ isem ta’ grupp IAM fil-qasam access-group ma jittraduċih f’SID tal-AD jew f’valur ta’ attribut SAML.

Grupp b’isem simili fi direttorju ieħor ma jipprova xejn. Iċċekkja l-metodu ta’ awtentikazzjoni tal-endpoint u s-sħubija jew l-assertion tal-utent fl-istess sistema.

Jirbaħ l-itwal prefiss, inkluż 0.0.0.0/0

L-awtorizzazzjoni tiġi valutata bit-tqabbil tal-itwal prefiss, u r-regola għad-destinazzjonijiet kollha tiġi valutata l-aħħar, mhux l-ewwel. Żid regola 10.46.0.0/16 għall-Engineering u regola 0.0.0.0/0 għal kulħadd, u utent barra mill-Engineering xorta ma jistax jilħaq 10.46.20.10 permezz tar-regola wiesgħa.

Hawnhekk tiswija tista’ tmur ħażin. It-tħassir tar-regola dejqa jġib lura l-aċċess tal-utent u wkoll jagħti dak is-subnet lil kull identità koperta mir-regola wiesgħa. Ibni l-matriċi grupp-għal-netwerk qabel ma tħassar xi ħaġa, u ikteb liema gruppi suppost jilħqu liema firxa. Dawn ir-regoli biss jawtorizzaw; m’hemmx entrata ta’ ċaħda biex taqta’ eċċezzjoni minn permess wiesa’.

Il-bidliet jeħtieġu wkoll konnessjoni friska biex jiġu ġġudikati b’mod ġust. Erġa’ qabbad il-klijent wara li teditja r-regoli, imbagħad ittestja mill-ġdid.

Issepara l-awtorizzazzjoni mill-passaġġ tad-dejta

Regola li taqbel mhijiex rotta. L-endpoint jeħtieġ subnet assoċjat u entrata fit-tabella tar-rotot għad-destinazzjoni, u l-grupp tas-sigurtà tar-riżorsa fil-mira għandu jaċċetta t-traffiku. It-traffiku tar-ritorn u d-DNS ukoll iridu jaħdmu.

Ittestja utent li suppost jirnexxi u utent li suppost jibqa’ eskluż. It-tnejn jistgħu jidħlu waqt li wieħed biss jilħaq is-subnet, u dak id-distakk huwa l-prova li trid.

Jekk indirizz IP jaħdem imma isem tal-host le, ħares lejn ir-resolver qabel ma tmiss l-awtorizzazzjoni. Jekk l-ebda rotta ma tkopri l-indirizz, sewwi l-assoċjazzjoni jew it-tabella tar-rotot. Jekk il-pakkett jasal u s-servizz jirrifjutah, il-politika ta’ dak is-servizz hija l-waqfa li jmiss. It-twessigħ tal-matriċi tal-awtorizzazzjoni għall-utenti kollha jaħbi liema minn dawk is-saffi kien tassew miksur.

Qabel ma tagħlaq it-ticket, irreġistra s-sors tal-identità, il-valur eżatt tal-grupp, il-prefissi tad-destinazzjoni u r-rotta li ġġorr it-traffiku. Dik in-nota ddawwar ir-rapport li jmiss dwar konness imma mingħajr aċċess fi tqabbil ta’ żewġ minuti minflok dawra oħra ta’ tbassir.