EC2 üçün yalnız VPN qaydası: hər qoşulmuş təhlükəsizlik qrupu razılaşmalıdır

VPN müştəri hovuzu üçün bir gələn qayda əlavə edirsiniz, heç nə silmirsiniz və xidmət hələ də internetdən əlçatandır. Heç nə pozulmayıb. Təhlükəsizlik qrupunda dar qaydanın üstün gələ biləcəyi heç bir üstünlük, prioritet və ya yekun rədd yoxdur. İnstansiyaya qoşulmuş hər qrup öz icazələrini vahid birləşmiş çoxluğa əlavə edir və unutduğunuz geniş qayda hələ də həmin çoxluqdadır. İnstansiyanı yalnız VPN etmək hamısını audit etmək deməkdir, birinə daha yaxşı səslənən qayda əlavə etmək deyil.

Qaydanı yazmazdan əvvəl xidməti yazın

Dəqiq təyinat, protokol və portdan, həmçinin xidmətin həqiqətən dinlədiyi şəbəkə interfeysindən başlayın. Bir neçə interfeysi və ya bir portda bir neçə xidməti olan instansiya üçün audit hər interfeys üzrə aparılmalıdır, çünki qoşulmuş qruplar fərqli ola bilər. Sonra müəyyən edin həmin interfeysin VPN istifadəçisi üçün həqiqətən hansı mənbə ünvanını aldığını, müştərinin öz bağlantı pəncərəsində göstərdiyi ünvandan fərqli olaraq.

Tərcümə və marşrutlaşdırma işə düşdükdən sonra bu iki ünvan insanların gözlədiyindən daha tez-tez ayrılır.

Üç mənbə modeli, üç fərqli qayda

Şəxsi marşrutlaşdırılmış girişdə instansiya müştəri hovuzunu və ya korporativ diapazonu alır; bu, yolun necə marşrutlaşdırıldığından və tərcümə edildiyindən asılıdır. Korporativ çıxış vasitəsilə əldə edilən açıq son nöqtədə instansiya əvəzində korporativ NAT ünvanını görür və yalnız o təyinat həqiqətən VPN yolundan istifadə edirsə, çünki bölünmüş tunelleşdirmə onu ev bağlantısında saxlaya bilər. İdarə olunan Client VPN son nöqtəsində sənədləşdirilmiş assosiasiya və hədəf şəbəkə modeli tətbiq olunur və müştəri ünvanı konfiqurasiya edilmiş müştəri CIDR-indən gəlir.

İşləməyən şey VPN şlüzünü təhlükəsizlik qrupu mənbəyi kimi göstərməkdir. Qrup istinadları VPC daxilində və ya peer şəbəkədə elastik şəbəkə interfeysləri ilə uyğunlaşır və paketləri ötürən şlüz onlardan biri deyil.

Hər qoşulmuş qrup üzrə birləşməni oxuyun

İnstansiyanı açın, şəbəkə interfeysini tapın və ona qoşulmuş hər təhlükəsizlik qrupunu sadalayın. Hər biri üçün protokolunuzu və portunuzu əhatə edən bütün qaydaları yoxlayın, geniş port diapazonları və hər iki ünvan ailəsi daxil olmaqla. 0.0.0.0/0 ünvanından gələn IPv4 qaydası sizi ::/0 ünvanını yoxlamaqdan azad etmir və bütün trafikə icazə verən qayda port məsələsini tamamilə gizlədir. Yalnız bu inventardan sonra xidmət üçün effektiv icazənin nə olduğunu deyə bilərsiniz.

AWS qayda arayışı təhlükəsizlik qruplarını yalnız-icazə kimi təsvir edir və bütün qoşulmuş qrupların qaydalarının birləşdirildiyini bildirir; bu uğursuzluğun arxasındakı bütün mexanizm budur.

Şəbəkə ACL-ləri sıralanmış icazə və rədd qeydləri olan ayrı, vəziyyətsiz siyasətdir və onlar instansiya üzrə deyil, subnet üzrə qiymətləndirilir.

Rədd divarı ilə cavab verməyin

Vərdiş etdiyiniz firewall-u təqlid etmək üçün subnet genişlikində NACL rəddi əlavə etmək səhv alətdir və riskli bir addımdır. NACL qeydləri sıralanmış və vəziyyətsizdir, buna görə mövcud icazənin üstündə yerləşdirilən rədd səssizcə əlaqəsiz trafiki pozur, o cümlədən saxlamağa çalışdığınız sessiyaların geri dönüş yolunu. Geniş təhlükəsizlik qrupu icazəsini ona sahib olan qrupda düzəldin, sonra ACL həqiqətən dizaynın bir hissəsi deyilsə, ona toxunmayın.

İnstansiyadan açıq ünvanı çıxarmaq daha güclü təminatdır və həm də icazə siyahısındakı bir qeyd deyil, inzibatı və tətbiqi nəticələri olan arxitektur dəyişikliyidir.

Yeni sessiya ilə sınaqdan keçirin və içəri girmək üçün bir yol saxlayın

Hər hansı mövcud icazəni ləğv etməzdən əvvəl təsdiq edilmiş müstəqil inzibatı yolun olduğunu təsdiqləyin, çünki silmək üzrə olduğunuz qayda sessiya bərpanızın asılı olduğu qayda ola bilər. Sonra VPN-dən yeni icazəli bağlantı və səlahiyyətli VPN olmayan test yolundan yeni rədd edilmiş bağlantı sınayın. Mövcud izlənən sessiyalar qayda dəyişikliklərindən elə keçir ki, köhnə açıq shell-lər qəbul sübutu kimi yararsız olur.

Nəhayət, tətbiqin öz avtorizasiyasını yerində saxlayın. Tərcümə edilmiş korporativ çıxış yüzlərlə insanı təmsil edə bilər və şəbəkəyə qəbul heç vaxt fərdi istifadəçini və ya onun cihazını müəyyən etməmişdir.