AWS Client VPN: உள்நுழைவு வெற்றியடைகிறது, ஆனால் சப்நெட்டை அடைய முடியவில்லை

உங்கள் கிளையண்ட் Connected எனக் காட்டுகிறது, சான்றிதழ் செல்லுபடியாகிறது, ஆனால் இன்ட்ராநெட் பக்கம் இன்னும் நேரம் முடிந்து நிற்கிறது. இந்த இடைவெளி கிட்டத்தட்ட ஒருபோதும் அங்கீகாரம் அல்ல. AWS Client VPN உள்நுழைவிலிருந்து தனியாக இலக்குகளுக்கு அனுமதி அளிக்கிறது, மேலும் வழக்கமான இரண்டு காரணங்கள்: அடையாள வழங்குநர் அனுப்பியதுடன் பொருந்தாத குழு மதிப்பு, மற்றும் பரந்த விதியை மிஞ்சும் கூடுதல் குறிப்பிட்ட இலக்கு விதி. எங்கு பார்ப்பது என்று தெரிந்தால் இரண்டும் endpoint கட்டமைப்பில் தெரியும்.

உள்நுழைவு வெற்றியடைந்தது; விதி பொருந்தவில்லை

அங்கீகாரம் பயனர் யார் என்பதைப் பதிலளிக்கிறது. அனுமதி விதிகள் அந்த அடையாளம் எந்த நெட்வொர்க் முன்னொட்டுகளை அடையலாம் என்பதைப் பதிலளிக்கின்றன. பயனர் முதல் ஒன்றைக் கடந்து இரண்டாவதில் தோல்வியடையலாம், ஒவ்வொரு கோரிக்கையும் நேரம் முடிந்து முடிவடையும்போது கிளையண்ட் திறந்திருக்கும் இணைப்பை மட்டுமே தருகிறது.

தோல்வியடையும் முகவரியை இலக்கில் கொண்ட அனுமதி விதி endpoint-இல் உள்ளதா என உறுதிசெய்து தொடங்குங்கள். பொருந்தும் விதி இல்லாவிட்டால், இணைப்பு சரியாக நடந்துகொள்கிறது; கொள்கையே இல்லை.

குழு மதிப்பு உண்மையில் எங்கிருந்து வருகிறது

Active Directory-இல், access-group புலம் குழுவின் காட்சிப் பெயரை அல்ல, அதன் SID-ஐ வைத்திருக்கும். SAML கூட்டமைப்பில், கட்டமைக்கப்பட்ட SAML குழு பண்பு உண்மையில் சுமக்கும் குழு ID அல்லது பெயரை வைத்திருக்கும். மதிப்பை assertion அல்லது அடைவுத் தேடலிலிருந்து நகலெடுக்கவும், விக்கி பக்கத்திலிருந்து அல்ல.

IAM குழு வேறு கட்டுப்பாட்டுத் தளம். Client VPN endpoint-ஐ நிர்வகிக்கும் அனுமதி IAM குழுவை பயனரின் VPN குழுவாக மாற்றாது, access-group புலத்தில் IAM குழுப் பெயரை ஒட்டினால் அது AD SID அல்லது SAML பண்பு மதிப்பாக மாறாது.

வேறு அடைவில் ஒரே மாதிரியான பெயரிலான குழு எதையும் நிரூபிக்காது. endpoint-இன் அங்கீகார முறையையும் அதே அமைப்பில் பயனரின் உறுப்பினர் நிலை அல்லது assertion-ஐயும் சரிபார்க்கவும்.

நீளமான முன்னொட்டே வெல்லும், 0.0.0.0/0 உட்பட

அனுமதி நீளமான முன்னொட்டுப் பொருத்தத்தால் மதிப்பிடப்படுகிறது, அனைத்து இலக்குகளின் விதியும் முதலில் அல்ல, கடைசியாக மதிப்பிடப்படுகிறது. Engineering-க்கு 10.46.0.0/16 விதியும் அனைவருக்கும் 0.0.0.0/0 விதியும் சேர்த்தாலும், Engineering-க்கு வெளியே உள்ள பயனர் பரந்த விதியின் மூலம் 10.46.20.10-ஐ அடைய முடியாது.

இங்குதான் சரிசெய்தல் தவறாகலாம். குறுகிய விதியை நீக்கினால் பயனரின் அணுகல் திரும்பும், அதே வேளையில் பரந்த விதி உள்ளடக்கும் ஒவ்வொரு அடையாளத்திற்கும் அந்த சப்நெட் வழங்கப்படும். எதையும் நீக்கும் முன் குழு-க்கு-நெட்வொர்க் அணிவரிசையை உருவாக்கி, எந்தக் குழுக்கள் எந்த வரம்பை அடைய வேண்டும் என எழுதுங்கள். இந்த விதிகள் அனுமதி மட்டுமே தருகின்றன; பரந்த அனுமதியிலிருந்து விதிவிலக்கை வெட்ட எந்த மறுப்புப் பதிவும் இல்லை.

மாற்றங்கள் நியாயமாக மதிப்பிடப்பட புதிய இணைப்பும் தேவை. விதிகளைத் திருத்திய பிறகு கிளையண்டை மீண்டும் இணைத்து, பின்னர் மீண்டும் சோதிக்கவும்.

அனுமதியை தரவுப் பாதையிலிருந்து பிரிக்கவும்

பொருந்தும் விதி ஒரு வழி அல்ல. endpoint-க்கு இணைக்கப்பட்ட சப்நெட்டும் இலக்குக்கான வழித்தட அட்டவணைப் பதிவும் தேவை, இலக்கு வளத்தின் பாதுகாப்புக் குழு போக்குவரத்தை ஏற்க வேண்டும். திரும்பும் போக்குவரத்தும் DNS-உம் செயல்பட வேண்டும்.

வெற்றியடைய வேண்டிய பயனரையும் வெளியே இருக்க வேண்டிய பயனரையும் சோதிக்கவும். இருவரும் உள்நுழைய முடியும், ஆனால் ஒருவர் மட்டுமே சப்நெட்டை அடைகிறார், அந்த வேறுபாடே உங்களுக்குத் தேவையான சான்று.

IP முகவரி வேலைசெய்து ஹோஸ்ட் பெயர் வேலைசெய்யவில்லை என்றால், அனுமதியைத் தொடும் முன் resolver-ஐப் பாருங்கள். எந்த வழித்தடமும் முகவரியை மூடவில்லை என்றால், இணைப்பையோ வழித்தட அட்டவணையையோ சரிசெய்யவும். பாக்கெட் வந்து சேவை அதை மறுத்தால், அடுத்த நிறுத்தம் அந்தச் சேவையின் கொள்கை. அனுமதி அணிவரிசையை அனைத்துப் பயனர்களுக்கும் விரிவாக்கினால் எந்த அடுக்கு உண்மையில் உடைந்தது என்பது மறைகிறது.

டிக்கெட்டை மூடும் முன் அடையாள ஆதாரம், சரியான குழு மதிப்பு, இலக்கு முன்னொட்டுகள், போக்குவரத்தைக் கொண்டு செல்லும் வழி ஆகியவற்றைப் பதிவு செய்யவும். அந்தப் பதிவு அடுத்த இணைக்கப்பட்டது ஆனால் அணுகல் இல்லை என்ற அறிக்கையை மற்றொரு ஊகச் சுற்றுக்குப் பதிலாக இரண்டு நிமிட ஒப்பீடாக மாற்றுகிறது.