مجموعة أمان سحابية لـ VPN: افتح المستمع، لا كل شيء

خادم VPN يعمل، والعميل تنتهي مهلته، وأول ما يتبادر إلى الذهن هو إضافة قاعدة تسمح بكل شيء إلى مجموعة الأمان. هذا يجعله يعمل أحياناً، وهي أسوأ نتيجة، لأن أحداً لا يعرف الآن أي حد أُغلق فعلاً. هناك أربعة مرشحات منفصلة بين العميل والبرنامج الخفي، وواحد منها فقط هو مجموعة الأمان.

سمِّ البروتوكول قبل القاعدة

القاعدة هي بروتوكول ونطاق منافذ ومصدر. يستمع WireGuard على UDP، وعادة على المنفذ 51820. OpenVPN عادة ما يكون UDP أو TCP 1194 بحسب طريقة إعداده. يحتاج IPsec إلى تبادل IKE على UDP 500 و 4500، إضافة إلى بروتوكول ESP نفسه، وهو رقم بروتوكول لا منفذ. التخمين بأنه TCP لأن القواعد الأخرى TCP هو الطريق إلى قاعدة تبدو صحيحة ولا تطابق شيئاً.

اقرأ المستمع من الخدمة العاملة، لا من درس تعليمي. البرنامج الخفي المرتبط بعنوان واحد لن يقبل حركة تصل إلى عنوان آخر.

اقصر المصدر على نطاق العملاء الذي يسمح به التصميم، بدلاً من الإنترنت كله.

مجموعات الأمان تحتفظ بالحالة؛ قوائم التحكم بالوصول للشبكات الفرعية لا تفعل

مجموعات الأمان تحتفظ بالحالة وتسمح فقط: التدفق الوارد المسموح يحصل على ردوده تلقائياً، ولا توجد قاعدة رفض للتفكير فيها. أما قوائم التحكم بالوصول للشبكات الفرعية فعديمة الحالة وتُقيَّم في الاتجاهين، لذلك فإن سماحاً وارداً بلا نطاق المنافذ المؤقتة الصادر المطابق يظل فاشلاً. هذا الفرق يفسر كثيراً من القواعد التي تبدو صحيحة في لوحة التحكم.

تأكد أيضاً من السياسة المرتبطة بنقطة النهاية العاملة، لأن المثيل قد يضم أكثر من مجموعة، وقاعدة في مجموعة غير مرتبطة لا تغير شيئاً.

السياسة الفعلية هي اتحاد ما هو مرتبط، لا الملف الذي حررته.

جدار الحماية على المضيف حدٌّ منفصل

سياسة السحابة تسمح للحركة بالوصول إلى واجهة الشبكة، ثم يقرر نظام التشغيل ما إذا كان البرنامج الخفي يراها. جدار حماية على المضيف بسياسة رفض افتراضية سيسقط حزمة سمحت بها مجموعة الأمان، ولن تظهر لوحة تحكم السحابة أي رفض لأنها لم تكن لها كلمة أصلاً. افحص الاثنين، بالترتيب الذي تصادفه الحزمة.

إذا كان المضيف يستخدم واجهة أمامية لجدار حماية من التوزيعة، فتأكد من القواعد الأساسية لا من اسم الملف التعريفي، لأن الملف التعريفي قد يكون نشطاً والمنفذ مغلق.

التقاط على الواجهة يخبرك أي حد أسقط الحزمة.

السماح للمستمع ليس توجيهاً للعملاء

بوابة VPN التي تمرر حركة العملاء تحتاج أكثر من منفذ مفتوح. تحتاج إلى إعادة توجيه IP، وسياسة تسمح بالتدفق من واجهة النفق إلى شبكة الوجهة، وغالباً إلى تعطيل فحص المصدر والوجهة على الواجهة كي لا تتجاهل المنصة حركة ليست موجهة إليها. لا شيء من ذلك تنشئه قاعدة المستمع.

هنا يفترق مصافحة ناجحة ومسار بيانات معطوب، ولهذا قد تبدو حالة النفق سليمة بينما لا يُحمَّل شيء.

أصلح التوجيه كتغيير منفصل بتحقق خاص به، ولاحظ أن البوابة التي تمرر تحتاج أيضاً إلى سياسة خروج تسمح بالوجهة.

أبقِ طريقاً للعودة، ثم ضيّق القاعدة

قبل تغيير سياسة جدار الحماية البعيد، تأكد من وجود مسار إدارة مستقل، مثل مدير جلسات أو وحدة تحكم تسلسلية أو شبكة خارج النطاق. إن كان مسار الإدارة الوحيد يمر بالقاعدة التي تحررها، فليس لديك استعادة. بعد ذلك طبّق القاعدة الضيقة، واختبر من عميل حقيقي، واربط المحاولة بأدلة من جانب الخادم. استجابة من خدمة أخرى على الجهاز نفسه ليست دليلاً على الوصول إلى المستمع.

أزل أي سماح واسع تجريبي بمجرد أن يعمل السماح الضيق، ودوّن سبب وجود القاعدة. توثق AWS السلوك الحافظ للحالة لمجموعات الأمان، وهذا هو المستند الذي يُستشهد به عندما يقترح أحدهم نطاقاً واسعاً كاختصار.

وثّق الارتباط أيضاً، وإلا فقد تفقد واجهة بديلة السياسة بصمت.