AWS Client VPN: prihlásenie prejde, ale podsieti sa nedá dosiahnuť

Klient hlási Connected, certifikát je platný a stránka intranetu stále končí vypršaním časového limitu. Táto medzera takmer nikdy nie je overovanie identity. AWS Client VPN autorizuje ciele oddelene od prihlásenia a obvykle k tomu vedú dve príčiny: hodnota skupiny, ktorá nezodpovedá tomu, čo poslal poskytovateľ identity, a konkrétnejšie pravidlo cieľa, ktoré prebije široké pravidlo. Obe sú viditeľné v konfigurácii endpointu, keď viete, kam sa pozerať.

Prihlásenie prešlo; pravidlo nesedelo

Overenie identity odpovedá na to, kto je používateľ. Pravidlá autorizácie odpovedajú na to, ku ktorým sieťovým prefixom táto identita smie dosiahnuť. Používateľ môže prejsť prvým a zlyhať v druhom a klient vám nedá nič viac než spojenie, ktoré zostane otvorené, kým každá požiadavka vyprší.

Začnite overením, či endpoint má pravidlo autorizácie, ktorého cieľ obsahuje zlyhávajúcu adresu. Ak chýba zodpovedajúce pravidlo, spojenie sa správa správne; chýba politika.

Odkiaľ hodnota skupiny skutočne pochádza

V Active Directory pole access-group obsahuje SID skupiny, nie jej zobrazované meno. Pri federácii SAML obsahuje ID alebo názov skupiny, ktorý nakonfigurovaný atribút skupiny SAML skutočne nesie. Skopírujte hodnotu z assertion alebo z dopytu v adresári, nie z wiki stránky.

Skupina IAM je iná riadiaca rovina. Oprávnenie spravovať endpoint Client VPN nerobí zo skupiny IAM používateľovu VPN skupinu a vloženie názvu skupiny IAM do poľa access-group ho nepreloží na SID v AD ani na hodnotu atribútu SAML.

Skupina podobného mena v inom adresári nič nedokazuje. Skontrolujte metódu overenia endpointu a členstvo alebo assertion používateľa v tom istom systéme.

Vyhráva najdlhší prefix, vrátane 0.0.0.0/0

Autorizácia sa vyhodnocuje podľa najdlhšej zhody prefixu a pravidlo pre všetky ciele sa vyhodnocuje ako posledné, nie prvé. Pridajte pravidlo 10.46.0.0/16 pre Engineering a pravidlo 0.0.0.0/0 pre všetkých a používateľ mimo Engineeringu sa cez široké pravidlo na 10.46.20.10 stále nedostane.

Tu sa oprava môže zvrtnúť. Zmazanie úzkeho pravidla vráti používateľovi prístup a zároveň pridá túto podsieť každej identite, ktorú pokrýva široké pravidlo. Postavte maticu skupín a sietí skôr, než čokoľvek zmažete, a zapíšte, ktoré skupiny majú dosiahnuť na ktorý rozsah. Tieto pravidlá iba povoľujú; neexistuje záznam pre zamietnutie, ktorým by ste zo širokého povolenia vyrezali výnimku.

Zmeny tiež potrebujú nové spojenie, aby sa dali poctivo posúdiť. Po úprave pravidiel klienta znova pripojte a potom znova otestujte.

Oddeľte autorizáciu od dátovej cesty

Pravidlo, ktoré sedí, nie je trasa. Endpoint potrebuje pridruženú podsieť a záznam v smerovacej tabuľke pre cieľ a bezpečnostná skupina cieľového prostriedku musí prevádzku prijať. Spätná prevádzka a DNS tiež musia fungovať.

Otestujte používateľa, ktorému sa to má podariť, a používateľa, ktorý má zostať vylúčený. Obaja sa môžu prihlásiť, ale len jeden dosiahne na podsieť, a práve ten rozdiel je dôkaz, ktorý hľadáte.

Ak IP adresa funguje a názov hostiteľa nie, pozrite sa na resolver, skôr než sa dotknete autorizácie. Ak adresu nepokrýva žiadna trasa, opravte pridruženie alebo smerovaciu tabuľku. Ak paket dorazí a služba ho odmietne, ďalšou zastávkou je politika tej služby. Rozšírenie autorizačnej matice na všetkých používateľov skryje, ktorá z týchto vrstiev bola skutočne pokazená.

Skôr než ticket zatvoríte, zaznamenajte zdroj identity, presnú hodnotu skupiny, prefixy cieľa a trasu, ktorá nesie prevádzku. Taký záznam zmení ďalšie hlásenie o pripojení bez prístupu na porovnanie na dve minúty namiesto ďalšieho kola hádania.