AWS Client VPN: hyrja funksionon, por nënrrjeti mbetet i paarritshëm

Klienti juaj thotë Connected, certifikata është e vlefshme dhe faqja e intranetit përsëri përfundon me skadim kohe. Ky hendek pothuajse kurrë nuk është vërtetim. AWS Client VPN autorizon destinacionet veçmas nga hyrja, dhe dy shkaqet e zakonshme janë një vlerë grupi që nuk përputhet me atë që dërgoi ofruesi i identitetit dhe një rregull destinacioni më specifik që mund rregullin e gjerë. Të dyja shihen në konfigurimin e endpointit kur dini ku të shikoni.

Hyrja dha rezultat; rregulli nuk përputhej

Vërtetimi përgjigjet se kush është përdoruesi. Rregullat e autorizimit përgjigjen se cilat prefikse rrjeti mund të arrijë ai identitet. Një përdorues mund ta kalojë të parën dhe të dështojë në të dytën, dhe klienti nuk ju jep shumë më tepër se një lidhje që mbetet e hapur ndërsa çdo kërkesë skadon.

Filloni duke konfirmuar që endpointi ka një rregull autorizimi destinacioni i të cilit përmban adresën që dështon. Nëse nuk ka rregull përputhës, lidhja sillet saktë; mungon politika.

Nga vjen në të vërtetë vlera e grupit

Në Active Directory, fusha access-group mban SID-in e grupit, jo emrin e shfaqur. Në federatën SAML, mban ID-në ose emrin e grupit që atributi i konfiguruar i grupit SAML mbart në të vërtetë. Kopjojeni vlerën nga assertion ose nga kërkimi në drejtori, jo nga një faqe wiki.

Një grup IAM është një plan tjetër kontrolli. Leja për të administruar një endpoint Client VPN nuk e bën një grup IAM grupin VPN të përdoruesit, dhe ngjitja e një emri grupi IAM në fushën access-group nuk e përkthen atë në SID të AD ose në vlerë atributi SAML.

Një grup me emër të ngjashëm në një drejtori tjetër nuk provon asgjë. Kontrolloni metodën e vërtetimit të endpointit dhe anëtarësimin ose assertion e përdoruesit në të njëjtin sistem.

Fiton prefiksi më i gjatë, përfshirë 0.0.0.0/0

Autorizimi vlerësohet sipas përputhjes më të gjatë të prefiksit, dhe rregulli për të gjitha destinacionet vlerësohet i fundit, jo i pari. Shtoni një rregull 10.46.0.0/16 për Engineering dhe një rregull 0.0.0.0/0 për të gjithë, dhe një përdorues jashtë Engineering nuk arrin ende 10.46.20.10 përmes rregullit të gjerë.

Këtu një rregullim mund të shkojë keq. Fshirja e rregullit të ngushtë rikthen aksesin e përdoruesit dhe gjithashtu ia jep atë nënrrjet çdo identiteti që mbulon rregulli i gjerë. Ndërtoni matricën grup-në-rrjet përpara se të fshini diçka dhe shkruani cilat grupe duhet të arrijnë cilin interval. Këto rregulla vetëm lejojnë; nuk ka zë refuzimi për të prerë një përjashtim nga një leje e gjerë.

Ndryshimet kërkojnë gjithashtu një lidhje të re për t'u gjykuar me drejtësi. Rilidhni klientin pasi të keni redaktuar rregullat, pastaj provoni përsëri.

Ndani autorizimin nga rruga e të dhënave

Një rregull që përputhet nuk është rrugë. Endpointi ka nevojë për një nënrrjet të lidhur dhe një zë në tabelën e rrugëve për destinacionin, dhe grupi i sigurisë i burimit të synuar duhet të pranojë trafikun. Trafiku i kthimit dhe DNS gjithashtu duhet të funksionojnë.

Provoni një përdorues që duhet të ketë sukses dhe një përdorues që duhet të mbetet i përjashtuar. Të dy mund të hyjnë ndërsa vetëm një arrin nënrrjetin, dhe ai ndryshim është prova që dëshironi.

Nëse një adresë IP funksionon, por një emër hosti nuk funksionon, shikoni resolver përpara se të prekni autorizimin. Nëse asnjë rrugë nuk mbulon adresën, rregulloni lidhjen ose tabelën e rrugëve. Nëse paketa arrin dhe shërbimi e refuzon, ndalesa tjetër është politika e atij shërbimi. Zgjerimi i matricës së autorizimit për të gjithë përdoruesit fsheh se cila prej atyre shtresave ishte në të vërtetë e prishur.

Përpara se të mbyllni tiketën, regjistroni burimin e identitetit, vlerën e saktë të grupit, prefikset e destinacionit dhe rrugën që mbart trafikun. Ai regjistrim e kthen raportin e radhës për lidhje pa akses në një krahasim prej dy minutash në vend të një raundi tjetër hamendjesh.