AWS Client VPN: ننوتل بریالي کیږي خو فرعي شبکه نه سیندل کیږي

ستاسو کلاینټ Connected ښیي، سند سم دی، او د انټرانیټ پاڼه لا هم د وخت پای ته رسیدو سره تمامیږي. دا توپیر نږدې هېڅکله تصدیق نه وي. AWS Client VPN منزلونه د ننوتلو څخه بېل اجازه ورکوي، او دوه معمول لاملونه دا دي: د ګروپ ارزښت چې د هویت چمتو کوونکي لیږل شوي سره سمون نه خوري، او ډیر ځانګړی منزل قاعده چې پراخه قاعده ته بریا ورکوي. دواړه د endpoint په ترتیب کې لیدل کیږي کله چې پوه شئ چېرته وګورئ.

ننوتل بریالي شول؛ قاعده سمه نه وه

تصدیق ځواب ورکوي چې کارونکی څوک دی. د اجازې قواعد ځواب ورکوي چې دا هویت کومو شبکې مخکښو برخو ته رسیدلی شي. کارونکی لومړی تیریدلی شي او دوهم کې پاتې راشي، او کلاینټ تاسو ته یوازې هغه اړیکه درکوي چې پاتې کیږي پداسې حال کې چې هر غوښتنه د وخت پای ته رسیږي.

د دې په تایید سره پیل کړئ چې endpoint داسې اجازه قاعده لري چې منزل یې پاتې راغلی پته لري. که سمون خوړونکې قاعده نه وي، اړیکه سم چلند کوي؛ سیاست دی چې نشته.

د ګروپ ارزښت په حقیقت کې له کومه ځایه راځي

په Active Directory کې، د access-group ساحه د ګروپ SID لري، نه د هغه ښودل شوی نوم. په SAML فدراسیون کې، دا د ګروپ ID یا نوم لري چې ترتیب شوی SAML ګروپ ځانګړتیا واقعیا یې لري. ارزښت له assertion یا د لارښود لټون څخه کاپي کړئ، نه د ویکي پاڼې څخه.

IAM ګروپ بله کنټرول سطحه ده. د Client VPN endpoint د اداره کولو اجازه IAM ګروپ د کارونکي VPN ګروپ نه جوړوي، او د IAM ګروپ نوم په access-group ساحه کې ایښودل هغه AD SID یا SAML ځانګړتیا ارزښت ته نه اړوي.

په بله لارښود کې ورته نوم لرونکی ګروپ هېڅ نه ثابتوي. د endpoint د تصدیق طریقه او په هماغه سیستم کې د کارونکي غړیتوب یا assertion وګورئ.

ترټولو اوږد مخکښه برخه ګټي، په شمول د 0.0.0.0/0

اجازه د ترټولو اوږد مخکښې برخې سمون له مخې ارزول کیږي، او د ټولو منزلونو قاعده لومړی نه، بلکې وروستی ارزول کیږي. د Engineering لپاره 10.46.0.0/16 قاعده او د ټولو لپاره 0.0.0.0/0 قاعده اضافه کړئ، او د Engineering څخه بهر کارونکی بیا هم د پراخې قاعدې له لارې 10.46.20.10 ته نه رسیږي.

دلته ترمیم کېدای شي غلط شي. د تنګې قاعدې ړنګول د کارونکي لاسرسی بیرته راولي او هغه فرعي شبکه هر هغه هویت ته هم ورکوي چې پراخه قاعده یې رانغاړي. د هر څه د ړنګولو دمخه د ګروپ-تر-شبکې میټریکس جوړ کړئ او ولیکئ چې کوم ګروپونه باید کومې سیمې ته ورسیږي. دا قواعد یوازې اجازه ورکوي؛ د پراخې اجازې څخه استثنا پرې کولو لپاره د منع ننوتنه نشته.

بدلونونه د انصافانه ارزونې لپاره نوی اړیکه هم غواړي. د قواعدو له سمولو وروسته کلاینټ بیا وصل کړئ، بیا بیا ازموینه وکړئ.

اجازه د معلوماتو له لارې جلا کړئ

سمون خوړونکې قاعده لار نه ده. endpoint ته اړوند فرعي شبکه او د منزل لپاره د لارې جدول ننوتنه غواړي، او د هدف سرچینې امنیتي ګروپ باید ترافیک ومني. د بیرته راستنیدو ترافیک او DNS هم باید کار وکړي.

هغه کارونکی وازموئ چې باید بریالي شي او هغه چې باید بهر پاتې شي. دواړه ننوتلی شي پداسې حال کې چې یوازې یو فرعي شبکې ته رسیږي، او هماغه توپیر ستاسو غوښتل شوی شاهد دی.

که IP پته کار وکړي خو د کوربه نوم نه، د اجازې له لاس وهلو دمخه resolver وګورئ. که هېڅ لار پته رانغاړي نه، اړیکه یا د لارې جدول سم کړئ. که کڅوړه ورسیږي او خدمت یې ردوي، بل تمګاه د هغه خدمت سیاست دی. د اجازې میټریکس ټولو کارونکو ته پراخول پټوي چې کومه طبقه واقعیا ماتې وه.

د ټکټ د بندولو دمخه د هویت سرچینه، دقیق ګروپ ارزښت، د منزل مخکښې برخې او هغه لار چې ترافیک وړي ولیکئ. هغه ریکارډ بله راپور چې وصل دی خو لاسرسی نشته په بله اټکل پړاو باندې د دوو دقیقو پرتله بدلوي.