EC2-reël net vir VPN: elke gekoppelde sekuriteitsgroep moet saamstem

Jy voeg een inkomende reël vir die VPN-kliëntpoel by, verwyder niks, en die diens is steeds van die internet af bereikbaar. Niks is stukkend nie. ’n Sekuriteitsgroep het nie ’n oorheersing, ’n prioriteit of ’n finale weiering waarteen die nou reël kan wen nie. Elke groep wat aan die instansie gekoppel is, dra sy eie toelatings by tot een saamgestelde stel, en die breë reël wat jy vergeet het, is steeds in daardie stel. Om die instansie slegs-VPN te maak, beteken om almal te oudit, nie om ’n beter klinkende reël by een van hulle by te voeg nie.

Skryf die diens neer voordat jy die reël skryf

Begin met die presiese bestemming, protokol en poort, en die netwerkkoppelvlak waarop die diens werklik luister. ’n Instansie met verskeie koppelvlakke of verskeie dienste op een poort vereis dat die oudit per koppelvlak gedoen word, want die gekoppelde groepe kan verskil. Bepaal dan watter bronadres daardie koppelvlak werklik vir ’n VPN-gebruiker ontvang, eerder as die adres wat die kliënt in sy eie verbindingsvenster wys.

Daardie twee adresse wyk meer dikwels uiteen as wat mense verwag sodra vertaling en routering in die spel kom.

Drie bronmodelle, drie verskillende reëls

Met private gerouteerde toegang ontvang die instansie die kliëntpoel of die korporatiewe reeks, afhangende van hoe die pad geroteer en vertaal word. Met ’n openbare eindpunt wat deur korporatiewe uitgang bereik word, sien die instansie eerder die korporatiewe NAT-adres, en net as daardie bestemming werklik die VPN-pad gebruik, want split-tunneling kan dit op ’n tuisverbinding laat. Met ’n bestuurde Client VPN-eindpunt geld die gedokumenteerde assosiasie- en teikennetwerkmodel, en die kliëntadres kom uit die gekonfigureerde kliënt-CIDR.

Wat nie werk nie, is om ’n VPN-gateway as bron vir ’n sekuriteitsgroep te verwys. Groepverwysings pas elastiese netwerkkoppelvlakke binne die VPC of ’n peered netwerk, en ’n gateway wat pakkette aanstuur, is nie een daarvan nie.

Lees die vereniging oor elke gekoppelde groep

Maak die instansie oop, vind sy netwerkkoppelvlak en lys elke sekuriteitsgroep wat daaraan gekoppel is. Gaan vir elkeen elke reël na wat jou protokol en poort dek, insluitend wye poortreekse en albei adresfamilies. ’n IPv4-reël van 0.0.0.0/0 onthef jou nie daarvan om ::/0 na te gaan nie, en ’n reël wat alle verkeer toelaat, verberg die poortvraag heeltemal. Eers ná daardie inventaris kan jy sê wat die effektiewe toestemming vir die diens is.

Die AWS-reëlverwysing beskryf sekuriteitsgroepe as slegs-toelaat en sê dat die reëls van alle gekoppelde groepe saamgevoeg word, wat die hele meganisme agter hierdie fout is.

Netwerk-ACL's is ’n aparte, toestandlose beleid met geordende toelaat- en weier-inskrywings, en hulle evalueer op die subnet eerder as op die instansie.

Moenie met ’n weier-muur antwoord nie

Om ’n subnetwye NACL-weiering by te voeg om ’n firewall na te boots waaraan jy gewoond is, is die verkeerde gereedskap en ’n riskante een. NACL-inskrywings is geordend en toestandloos, so ’n weiering bo ’n bestaande toelating breek stilweg onverwante verkeer, insluitend die terugpad vir die sessies wat jy wou behou. Maak die breë sekuriteitsgroep-toelating reg in die groep wat dit besit, en laat die ACL dan alleen, tensy dit werklik deel van die ontwerp is.

Om ’n openbare adres van die instansie te verwyder, is ’n sterker waarborg, en dit is ook ’n argitektoniese verandering met administrasie- en toepassingsgevolge eerder as ’n blokkie op ’n toelaatlys.

Toets met ’n nuwe sessie en hou ’n manier om in te kom

Voordat jy enige bestaande toelating aftree, bevestig ’n goedgekeurde onafhanklike administrasiepad, want die reël wat jy op die punt is om te skrap, is dalk die een waarvan jou sessieherstel afhang. Toets dan ’n vars toegelate verbinding vanaf die VPN en ’n vars geweierde verbinding vanaf ’n gemagtigde nie-VPN-toetspad. Bestaande dopgehoude sessies oorleef reëlveranderings op maniere wat ou oop skulpe nutteloos maak as aanvaardingsbewys.

Laastens, hou die toepassing se eie magtiging in plek. ’n Vertaalde korporatiewe uitgang kan honderde mense verteenwoordig, en netwerktoelating het nooit ’n individuele gebruiker of sy toestel geïdentifiseer nie.