AWS Client VPN: pumapasok ang user pero hindi maabot ang subnet

Sinasabi ng kliyente mo na Connected, valid ang certificate, at nagtatapos pa rin sa timeout ang intranet page. Ang agwat na iyon ay halos hindi kailanman authentication. Ang AWS Client VPN ay nagbibigay ng awtorisasyon sa mga destinasyon nang hiwalay sa pag-log in, at ang dalawang karaniwang dahilan ay ang halaga ng grupo na hindi tumutugma sa ipinadala ng identity provider at ang mas tiyak na tuntunin ng destinasyon na nananaig sa malawak na tuntunin. Makikita ang dalawa sa configuration ng endpoint kapag alam mo kung saan titingin.

Nagtagumpay ang pag-log in; hindi tumugma ang tuntunin

Sinasagot ng authentication kung sino ang user. Ang mga tuntunin ng awtorisasyon ang nagsasabi kung aling mga prefix ng network ang maaaring abutin ng identity na iyon. Maaaring makapasa ang user sa una at mabigo sa pangalawa, at ang kliyente ay halos hindi nagbibigay ng higit sa isang koneksyon na nananatiling bukas habang nagti-timeout ang bawat kahilingan.

Magsimula sa pagkumpirma na may tuntunin ng awtorisasyon ang endpoint na ang destinasyon ay naglalaman ng address na nabigo. Kung walang tumutugmang tuntunin, tama ang kilos ng koneksyon; ang kulang ay ang patakaran.

Saan talaga nagmumula ang halaga ng grupo

Sa Active Directory, ang field na access-group ay naglalaman ng SID ng grupo, hindi ng display name nito. Sa SAML federation, naglalaman ito ng group ID o pangalan na aktuwal na dala ng naka-configure na SAML group attribute. Kopyahin ang halaga mula sa assertion o sa paghahanap sa directory, hindi mula sa pahina ng wiki.

Ang IAM group ay ibang control plane. Ang pahintulot na pamahalaan ang endpoint ng Client VPN ay hindi ginagawang VPN group ng user ang isang IAM group, at ang pag-paste ng pangalan ng IAM group sa field na access-group ay hindi ito isinasalin sa AD SID o sa halaga ng SAML attribute.

Ang grupong may katulad na pangalan sa ibang directory ay walang pinatutunayan. Suriin ang paraan ng authentication ng endpoint at ang membership o assertion ng user sa parehong system.

Nanalo ang pinakamahabang prefix, kasama ang 0.0.0.0/0

Sinusuri ang awtorisasyon ayon sa pinakamahabang tugma ng prefix, at ang tuntunin para sa lahat ng destinasyon ay sinusuri sa huli, hindi sa una. Magdagdag ng tuntunin na 10.46.0.0/16 para sa Engineering at tuntunin na 0.0.0.0/0 para sa lahat, at ang user sa labas ng Engineering ay hindi pa rin maaabot ang 10.46.20.10 sa malawak na tuntunin.

Dito maaaring magkamali ang isang pagwawasto. Ang pagbura ng makitid na tuntunin ay nagbabalik ng access ng user at nagbibigay din ng subnet na iyon sa bawat identity na saklaw ng malawak na tuntunin. Buuin ang matrix ng grupo-papunta-network bago magbura ng anuman, at isulat kung aling grupo ang dapat umabot sa aling saklaw. Ang mga tuntuning ito ay nagpapahintulot lamang; walang entry ng pagtanggi upang hiwain ang eksepsiyon mula sa malawak na pahintulot.

Kailangan din ng mga pagbabago ang bagong koneksyon upang maging patas ang paghuhusga. Ikonekta muli ang kliyente pagkatapos i-edit ang mga tuntunin, pagkatapos ay subukan muli.

Ihiwalay ang awtorisasyon sa landas ng datos

Ang tuntuning tumutugma ay hindi ruta. Kailangan ng endpoint ang kaakibat na subnet at entry sa route table para sa destinasyon, at dapat tanggapin ng security group ng target na resource ang trapiko. Dapat ding gumana ang return traffic at DNS.

Subukan ang user na dapat magtagumpay at ang user na dapat manatiling hindi kasama. Pareho silang makakapasok habang isa lamang ang umaabot sa subnet, at ang pagkakaibang iyon ang ebidensiyang kailangan mo.

Kung gumagana ang IP address pero hindi ang hostname, tingnan ang resolver bago hawakan ang awtorisasyon. Kung walang rutang sumasaklaw sa address, ayusin ang kaakibat o ang route table. Kung dumarating ang packet at tinatanggihan ito ng serbisyo, ang patakaran ng serbisyong iyon ang susunod na hintuan. Ang pagpapalawak ng matrix ng awtorisasyon sa lahat ng user ay nagtatago kung alin sa mga layer na iyon ang talagang sira.

Bago isara ang ticket, itala ang pinagmulan ng identity, ang eksaktong halaga ng grupo, ang mga prefix ng destinasyon, at ang rutang nagdadala ng trapiko. Ang talaang iyon ay ginagawang dalawang minutong paghahambing ang susunod na ulat na konektado ngunit walang access sa halip na isa pang ikot ng hula.