Pagpapatotoo sa AWS Client VPN: ang mga pahintulot ng IAM ay hindi paraan ng pag-login
Hindi pinapatotohanan ng mga pahintulot sa console ang isang tunnel. Ihambing ang mga paraan ng sertipiko, AD at SAML, pagkatapos tingnan kung kailan ang pagpapasa ng port ng SSM ay bagay sa isang pribadong database.
Ang pagbibigay sa isang gumagamit ng pahintulot na gumawa o maglarawan ng endpoint ng AWS Client VPN ay hindi nagpapahintulot sa kanya na kumonekta rito. Dalawang magkaibang uri ng pagkakakilanlan ang mga ito: pinamamahalaan ng IAM ang mga tawag sa AWS API, at tinatanggap lamang ng endpoint ang mga paraan ng pagpapatotoo ng kliyente na naka-configure dito. Kaya ang isang gumagamit ay maaaring may malawak na karapatan sa console at wala pa ring anumang maipakita ang kliyente ng VPN. Magpasya kung aling paraan ang pinagkakatiwalaan ng endpoint, pagkatapos ay magpasya kung ang buong tunnel ang tamang hugis para sa access na ibinibigay mo.
Ang pagkakakilanlan ng API ay hindi pagkakakilanlan ng tunnel
Kapag may nagsabi na «nakakabit na ang papel ng IAM, bakit nabibigo pa rin ang VPN», ang sagot ay karaniwang walang hakbang sa daloy ng koneksyon ang kailanman nagbabasa ng papel na iyon. Naghahain ang kliyente ng sertipiko, username at password ng AD, o assertion ng SAML. Pinapatunayan ng endpoint ang isa sa mga iyon at pagkatapos ay nagtatalaga ng address.
Mahalaga pa rin ang IAM, mas huli lang at sa ibang lugar: ang paggawa ng endpoint, pag-uugnay ng mga subnet, paglalathala ng mga ruta at pagsulat ng mga tuntunin ng awtorisasyon ay mga aksyon sa API. Panatilihing limitado ang mga pahintulot na iyon sa mga operator na nangangailangan, sa halip na bigyan ang bawat gumagamit ng kakayahang muling isulat ang mga tuntunin ng access ng endpoint.
Pumili mula sa mga paraang sinusuportahan ng endpoint
Tinatanggap ng AWS Client VPN ang mutual authentication na batay sa sertipiko, pagpapatotoo ng Active Directory at federated authentication na batay sa SAML. Kailangan ang sertipiko ng server anuman ang paraan ng kliyente na pipiliin mo, at ang configuration na nagsasama ng mga paraan ay nangangailangan ng tagumpay ng dalawa, hindi isa.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Ang mga sertipiko ang pinakamurang i-set up at pinakamadaling magkamali sa malaking sukat, dahil bawat gumagamit ay nangangailangan ng credential at bawat pag-alis ay nangangailangan ng pagpapawalang-bisa. Inililipat ng pagpapatotoo sa directory ang lifecycle na iyon sa umiiral na sistema. Inililipat ito ng federation sa isang provider ng pagkakakilanlan at nagdaragdag ng hakbang sa browser sa kliyente.
Basahin ang configuration ng endpoint mismo bago i-debug ang kliyente. Kung naka-enable ang mutual authentication kasama ng paraang batay sa gumagamit, ang kliyenteng may valid na sertipiko ngunit walang account sa directory ay mabibigo pa rin, at ang error ay karaniwang mukhang pangkalahatang problema sa handshake.
Ang federation ay hindi pagpapasa ng mga susi ng access
Ang setup ng SAML ay hindi naglalagay ng mga susi ng access ng IAM o token ng ipinagpalagay na papel sa tunnel. Pinapatotohanan ng provider ng pagkakakilanlan ang tao, nagbabalik ng assertion, at tinatanggap ito ng endpoint sa ilalim ng pagtitiwalang na-configure mo. Ang resultang session ay session ng VPN, hindi session ng AWS API.
Ang pagkakaibang iyon ang nagtatakda kung sino ang makapag-diagnose ng ano. Lumilitaw ang mga problema sa IdP bilang error ng browser o kliyente bago pa man umiral ang anumang tunnel, samantalang lumilitaw ang mga problema sa tunnel pagkatapos ng matagumpay na assertion. Itanong kung alin sa dalawa ang tinitingnan mo bago buksan ang alinman sa mga console.
Pagkatapos ng login, nagpapasya pa rin ang mga ruta at awtorisasyon
Nagbibigay ng address sa session ang pagpapatotoo; hindi ito nagbibigay ng destinasyon sa session. Sinasabi ng mga ruta ng endpoint sa kliyente kung aling mga subnet ang padadalhan, nagpapasya ang mga tuntunin ng awtorisasyon kung aling mga gumagamit ang makararating sa alin sa mga subnet na iyon, at ang mga security group at ang sariling pahintulot ng target ang nagpapasya sa natitira.
Ito ang dahilan kung bakit ang gumagamit na matagumpay na napapatotohanan ay maaari pa ring mabigong makarating sa isang database. Suriin ang ugnayan ng route table para sa subnet, ang tuntunin ng awtorisasyon para sa grupo ng gumagamit at ang security group sa target sa ganoong pagkakasunod-sunod, dahil bawat isa ay gumagawa ng ibang uri ng timeout.
Para sa isang pribadong database, ihambing sa pagpapasa ng port
Kung ang tunay na gawain ay isang aprubadong koneksyon sa isang pribadong database, ang buong network tunnel ay pagpipilian at hindi kinakailangan. Maaaring magbukas ang AWS Systems Manager Session Manager ng session ng pagpapasa ng port patungo sa pinamamahalaang node sa pamamagitan ng IAM, at naaabot ng node na iyon ang database sa pribadong network. Hindi kailanman tumatanggap ng address ng VPC ang gumagamit. Ang pinamamahalaang node ang nagiging tanging host na makakaabot sa port ng database, at iyon ang karaniwang hinihingi ng pagsusuri ng seguridad. Kailangan ng mga gumagamit ng lokal na kliyente at utos ng session sa halip na profile ng VPN.
Ang kalakalan ay saklaw laban sa mga paunang kundisyon. Ang pagpapasa ng port ay nangangailangan ng agent ng SSM sa pinamamahalaang node, maabot ng network mula sa node na iyon hanggang sa database, plugin ng Session Manager sa makina ng gumagamit at pahintulot na simulan ang partikular na session na iyon. Hindi ito daan patungo sa bawat subnet, at hindi ito magdadala ng mga arbitraryong protocol tulad ng ginagawa ng tunnel.
Sa anumang kaso, panatilihin ang sariling pagkakakilanlan ng database. Hindi nawawala ang pagpapatunay ng TLS at pagpapatotoo ng database dahil pinahintulutan ng IAM ang daan, at walang sinasabi ang aprubadong session tungkol sa kung aling mga talahanayan ang maaaring basahin ng gumagamit.
Pumili batay sa saklaw at lifecycle: tunnel kapag maraming gumagamit ang nangangailangan ng maraming destinasyon at kaya mong pamahalaan ang lifecycle ng sertipiko o directory; session ng pagpapasa kapag kakaunting tao ang nangangailangan ng isang serbisyo at mas gusto mong hindi mamahagi ng mga address ng network. Sa anumang kaso, itala ang paraan ng pagpapatotoo, ang tuntunin ng awtorisasyon at ang pag-login sa database bilang tatlong magkaibang katotohanan, dahil nabibigo sila nang hiwalay.