AWS Client VPN: пријава успева, али подмрежа је недоступна

Ваш клијент приказује Connected, сертификат је важећи, а страница интранета и даље завршава истеком времена. Тај јаз скоро никада није аутентификација. AWS Client VPN ауторизује одредишта одвојено од пријаве, а два уобичајена узрока су вредност групе која се не поклапа са оним што је послао добављач идентитета и конкретније правило одредишта које побеђује широко правило. Оба су видљива у конфигурацији endpoint-а када знате где да гледате.

Пријава је успела; правило се није поклопило

Аутентификација одговара ко је корисник. Правила ауторизације одговарају које мрежне префиксе тај идентитет сме да достигне. Корисник може да прође прво и да падне на другом, а клијент вам даје тек везу која остаје подигнута док сваки захтев истиче.

Почните потврдом да endpoint има правило ауторизације чије одредиште садржи адресу која не пролази. Ако нема одговарајућег правила, веза се понаша исправно; недостаје политика.

Одакле вредност групе заиста долази

У Active Directory поље access-group садржи SID групе, а не њено приказано име. У SAML федерацији садржи ID или назив групе који конфигурисани SAML атрибут групе заиста носи. Копирајте вредност из assertion-а или из претраге именика, не са вики странице.

IAM група је друга контролна раван. Дозвола за администрацију endpoint-а Client VPN не чини IAM групу корисниковом VPN групом, а лепљење назива IAM групе у поље access-group не преводи га у SID у AD или вредност SAML атрибута.

Група сличног имена у другом именику ништа не доказује. Проверите начин аутентификације endpoint-а и корисниково чланство или assertion у истом систему.

Побеђује најдужи префикс, укључујући 0.0.0.0/0

Ауторизација се оцењује према најдужем поклапању префикса, а правило за сва одредишта оцењује се последње, не прво. Додајте правило 10.46.0.0/16 за Engineering и правило 0.0.0.0/0 за све, и корисник ван Engineering-а ипак не може да достигне 10.46.20.10 кроз широко правило.

Ту поправка може да крене наопако. Брисање уског правила враћа кориснику приступ и такође даје ту подмрежу сваком идентитету који широко правило покрива. Направите матрицу група и мрежа пре него што било шта обришете и запишите које групе треба да достигну који опсег. Ова правила само дозвољавају; нема записа за забрану којим бисте из широке дозволе исекли изузетак.

Промене такође траже свежу везу да би биле поштено оцењене. Поново повежите клијент после измене правила, па онда поново тестирајте.

Одвојите ауторизацију од путање података

Правило које се поклапа није рута. Endpoint-у су потребна повезана подмрежа и запис у табели рутирања за одредиште, а сигурносна група циљног ресурса мора да прихвати саобраћај. Повратни саобраћај и DNS такође морају да раде.

Тестирајте корисника који би требало да успе и корисника који би требало да остане изузет. Оба могу да се пријаве, али само један достиже подмрежу, и та разлика је доказ који желите.

Ако IP адреса ради, а име хоста не, погледајте resolver пре него што дирнете ауторизацију. Ако ниједна рута не покрива адресу, поправите повезивање или табелу рутирања. Ако пакет стигне, а сервис га одбије, следећа станица је политика тог сервиса. Проширење матрице ауторизације на све кориснике сакрива који је од тих слојева заиста био покварен.

Пре затварања тикета запишите извор идентитета, тачну вредност групе, префиксе одредишта и руту која носи саобраћај. Тај запис претвара следећу пријаву о повезаности без приступа у поређење од два минута уместо још једног круга нагађања.