AWS Client VPN qaydaları subnetdə deyil, resursun özündə olmalıdır

İşçilər VPC-də bir tətbiqə çatmalıdır və həmin instansdakı verilənlər bazası dinləyicisinə çatmamalıdır, buna görə kimsə VPN endpointi üçün ikinci ictimai subnet əlavə edir və tələbi yerinə yetirilmiş sayır. Subnetin yerləşməsi marşrutlaşdırmanı və mövcudluğu dəyişir. O, tək bir portu nə verir, nə də əsirgəyir. Tələbi ifadə edən icazə təyinat yerində, resursun təhlükəsizlik qrupunda yaşayır və VPN sərhədi həmin qaydanın istinad etdiyi dəstəyi təmin edir.

Subnetin yerləşməsi marşrutlaşdırmadır, avtorizasiya deyil

Endpointin şəbəkə assosiasiyasının harada yerləşdiyi müştəri trafikini hansı marşrut cədvəlinin daşıdığını və hansı əlçatanlıq zonalarının nasazlığa tab gətirdiyini müəyyən edir. Bu, trafikin hansı instansdakı hansı porta çata biləcəyi barədə heç nə demir. Eyni subnetlə assosiasiya olunmuş iki müştəri yenə eyni mənbə kimliyi ilə gəlir və resurs onları subnet adı ilə ayıra bilmir.

Əvəzində tələbdən başlayın: kim çağırır, hansı resurs, hansı xidmət portu və hansı istiqamət. Sonra bu dörd şeyi təyinat yerində ifadə edə bilən qayda modelini seçin. Bu yanaşma adətən əlavə subneti dizayndan tamamilə çıxarır.

Client VPN assosiasiya qrupu məhz həmin istinaddır

Subnetlə assosiasiya olunmuş AWS Client VPN endpointi üçün sənədləşdirilmiş qayda konkretdir. Nəzərdə tutulan təhlükəsizlik qrupunu endpointin hədəf şəbəkə assosiasiyalarına tətbiq edin, sonra resursun təhlükəsizlik qrupunda tələb olunan trafikə həmin Client VPN qrupunu mənbə kimi istifadə edərək icazə verin.

Konkret desək, tətbiq instansının qrupu tətbiq portuna assosiasiya qrupundan icazə verir, başqa heç nəyə yox. AWS-in resursa giriş proseduru bu əlaqəni təsvir edir və endpointin assosiasiya etdiyi hər subnetdə eyni qrup siyasətini saxlamağa dəyər, çünki fərqli qrupla köhnə assosiasiya sərhədi səssizcə genişləndirir.

Bu qayda heç kimi autentifikasiya etmir. Giriş ayrı bir nəzarətdir, resursa marşrut isə üçüncüdür. Sorğu gəlməzdən əvvəl hər üçü doğru olmalıdır. Hansı uğursuz olursa, hansı düzəlişin doğru olduğunu o müəyyən edir və qayda dəyişikliyi yalnız birincisi üçün doğru cavabdır.

Bir assosiasiya qrupunun ayıra bilmədikləri

Eyni assosiasiya qrupu arxasındakı hər müştəri resursa eyni təhlükəsizlik qrupu mənbəyi kimi çatır. Fərqli rolları olan iki istifadəçi o qatda bir-birindən ayırd edilə bilməz, qrup necə adlandırılsa və ya teqlənsə də. Client VPN-in xarici qrup avtorizasiyası kataloq və ya SAML qrupu üçün girişi təyinat prefiksinə görə məhdudlaşdırır; bu, resurs rolundan daha kobuddur və şəxsiyyət sistemi deyil, şəbəkə sərhədi kimi qəbul edilməlidir.

Daha incə fərqlər tətbiqə aiddir. İşçilərin çoxuna bağlı qalmalı olan verilənlər bazası dinləyicisi, qrup üzvlüyünün səliqəli qalmasına ümid etməkdənsə, icazə verilmiş prefiksdə heç əlçatan olmamaqla daha yaxşı qorunur.

Qrupun adını dəyişmək şəxsiyyət yaratmır və onu hər komanda üçün kopyalamaq yalnız audit ediləcək assosiasiyaların sayını artırır.

Bu qaydanı hər VPN dizaynına köçürməyin

Özünü idarə edən EC2 VPN şlüzü, marşrutlaşdırılmış yoxlama cihazı və idarə olunan Client VPN üç fərqli paket yoludur. Resursa faktiki hansı mənbə ünvanının çatdığını, yolda translyasiyanın olub-olmadığını və xidmətin o yolda hansı istinad mexanizmlərini dəstəklədiyini müəyyən edin.

Trafiki aralıq qurğudan keçirmək mənbə təhlükəsizlik qrupu istinadını birbaşa instansdan-instansa trafik kimi qorumur. AWS sənədləşdirir ki, belə dizaynlar qrup istinadı əvəzinə uyğun özəl mənbə ünvanlarına və ya CIDR-lərə ehtiyac duya bilər. İdarə olunan Client VPN proseduru hər şlüzün qoşulmuş qrupunun ötürülən paketlər üçün universal şəxsiyyət tokeni kimi işlədiyinə sübut deyil.

Yolda bir NAT addımı fərziyyəni pozmaq üçün kifayətdir və nasazlıq mövcud olan, lakin heç vaxt uyğunlaşmayan qayda kimi görünür.

Effektiv sərhədi nəzərdən keçirin

Resursa qoşulmuş hər təhlükəsizlik qrupunu oxuyun, çünki icazə qaydaları birləşir və dar qayda başqa qrupdakı daha geniş qaydanı ləğv etmir. Sonra şəbəkə ACL-i, host firewall-u və tətbiqin öz avtorizasiyasını yoxlayın; bunlar ayrı-ayrı səhvləri olan ayrı qatlardır.

Eyni resursa qarşı bir icazəli və bir qəsdən xaric edilmiş sorğu ilə bitirin. Bu cüt sərhədi sübut edir, tək uğurlu bağlantı isə yalnız nəyinsə açıq olduğunu sübut edir. Endpointi ehtiva edən subneti deyil, marşrutu, effektiv mənbəyi və nəzərdə tutulan xidmət portunu təsdiqləyin.

İş sırası: dörd hissəli tələbi yazın, qrupu assosiasiyalara qoşun, resurs qaydasını portla məhdudlaşdırın, bir icazəni və bir rəddi yoxlayın və yalnız bundan sonra marşrutlaşdırma səbəbləri üçün subnetləri bölməyi düşünün.