AWS Client VPN: लगइन सफल हुन्छ, तर सबनेटमा पुग्न सकिँदैन

तपाईंको क्लाइन्टले Connected देखाउँछ, प्रमाणपत्र मान्य छ, र इन्ट्रानेट पृष्ठ अझै समय सकिएर रोकिन्छ। यो अन्तर लगभग कहिल्यै प्रमाणीकरण होइन। AWS Client VPN लगइनबाट छुट्टै गन्तव्यहरूलाई अधिकृत गर्छ, र सामान्यतया दुई कारण हुन्छन्: पहिचान प्रदायकले पठाएकोसँग नमिल्ने समूह मान, र फराकिलो नियमलाई हराउने थप विशिष्ट गन्तव्य नियम। कहाँ हेर्ने भन्ने थाहा भए दुवै endpoint कन्फिगरेसनमा देखिन्छन्।

लगइन सफल भयो; नियम मिलेन

प्रमाणीकरणले प्रयोगकर्ता को हो भन्ने जवाफ दिन्छ। अधिकार नियमहरू ले त्यो पहिचान कुन नेटवर्क प्रिफिक्ससम्म पुग्न सक्छ भन्ने जवाफ दिन्छन्। प्रयोगकर्ताले पहिलो पास गरेर दोस्रोमा असफल हुन सक्छ, र हरेक अनुरोध समय सकिएर रोकिँदा क्लाइन्टले तपाईंलाई खुला रहने जडानभन्दा धेरै केही दिँदैन।

असफल हुने ठेगाना गन्तव्यमा समेटिएको अधिकार नियम endpointसँग छ कि छैन भनी पुष्टि गरेर सुरु गर्नुहोस्। मिल्ने नियम नभए, जडान सही व्यवहार गरिरहेको छ; कमी नीतिको हो।

समूह मान वास्तवमा कहाँबाट आउँछ

Active Directory मा, access-group फिल्डले समूहको प्रदर्शन नाम होइन, त्यसको SID राख्छ। SAML महासंघमा, कन्फिगर गरिएको SAML समूह गुणले वास्तवमा बोक्ने समूह ID वा नाम राख्छ। मान assertion वा डाइरेक्टरी खोजबाट प्रतिलिपि गर्नुहोस्, विकी पृष्ठबाट होइन।

IAM समूह फरक नियन्त्रण तह हो। Client VPN endpoint प्रशासन गर्ने अनुमतिले IAM समूहलाई प्रयोगकर्ताको VPN समूह बनाउँदैन, र access-group फिल्डमा IAM समूहको नाम टाँस्दा त्यो AD SID वा SAML गुण मानमा परिणत हुँदैन।

अर्को डाइरेक्टरीमा समान नामको समूहले केही प्रमाणित गर्दैन। endpoint को प्रमाणीकरण विधि र त्यही प्रणालीमा प्रयोगकर्ताको सदस्यता वा assertion जाँच्नुहोस्।

सबैभन्दा लामो प्रिफिक्स जित्छ, 0.0.0.0/0 सहित

अधिकार सबैभन्दा लामो प्रिफिक्स मिलानले मूल्याङ्कन गरिन्छ, र सबै गन्तव्यको नियम पहिले होइन, अन्तमा मूल्याङ्कन गरिन्छ। Engineering का लागि 10.46.0.0/16 नियम र सबैका लागि 0.0.0.0/0 नियम थप्नुहोस्, तैपनि Engineering बाहिरको प्रयोगकर्ता फराकिलो नियमबाट 10.46.20.10 मा पुग्न सक्दैन।

यहीँ सुधार गलत हुन सक्छ। साँघुरो नियम हटाउँदा प्रयोगकर्ताको पहुँच फर्किन्छ र त्यो सबनेट फराकिलो नियमले समेट्ने हरेक पहिचानलाई पनि दिइन्छ। केही हटाउनु अघि समूह-देखि-नेटवर्क म्याट्रिक्स बनाउनुहोस् र कुन समूहले कुन दायरासम्म पुग्नुपर्ने हो लेख्नुहोस्। यी नियमले अनुमति मात्र दिन्छन्; फराकिलो अनुमतिबाट अपवाद काट्न अस्वीकृति प्रविष्टि छैन।

परिवर्तनलाई न्यायपूर्ण मूल्याङ्कन गर्न नयाँ जडान पनि चाहिन्छ। नियम सम्पादन गरेपछि क्लाइन्ट पुनः जोड्नुहोस्, त्यसपछि फेरि परीक्षण गर्नुहोस्।

अधिकारलाई डेटा मार्गबाट अलग गर्नुहोस्

मिल्ने नियम मार्ग होइन. endpoint लाई जोडिएको सबनेट र गन्तव्यका लागि रुट तालिका प्रविष्टि चाहिन्छ, र लक्ष्य स्रोतको सुरक्षा समूहले ट्राफिक स्वीकार गर्नुपर्छ। फर्किने ट्राफिक र DNS पनि चल्नुपर्छ।

सफल हुनुपर्ने प्रयोगकर्ता र बाहिर रहनुपर्ने प्रयोगकर्ता परीक्षण गर्नुहोस्। दुवै लगइन गर्न सक्छन् तर एक जना मात्र सबनेटमा पुग्छ, र त्यही भिन्नता तपाईंलाई चाहिने प्रमाण हो।

IP ठेगाना चल्ने तर होस्टनाम नचल्ने भए, अधिकारमा हात हाल्नु अघि resolver हेर्नुहोस्। कुनै रुटले ठेगाना समेट्दैन भने जोडाइ वा रुट तालिका सुधार्नुहोस्। प्याकेट आएर सेवाले अस्वीकार गर्छ भने अर्को गन्तव्य त्यो सेवाको नीति हो। अधिकार म्याट्रिक्स सबै प्रयोगकर्तासम्म फैलाउँदा कुन तह साँच्चै बिग्रेको थियो भन्ने लुक्छ।

टिकट बन्द गर्नु अघि पहिचानको स्रोत, ठ्याक्कै समूह मान, गन्तव्य प्रिफिक्स र ट्राफिक बोक्ने रुट लेख्नुहोस्। त्यो अभिलेखले अर्को जोडिएको तर पहुँच छैन रिपोर्टलाई अर्को अनुमानको चरणको सट्टा दुई मिनेटको तुलनामा बदल्छ।