Правило за EC2 само с VPN: всяка прикачена група за сигурност трябва да е съгласна

Добавяте едно входящо правило за пула VPN клиенти, не премахвате нищо и услугата все още е достъпна от интернет. Нищо не е счупено. Групата за сигурност няма отменящо действие, приоритет или окончателен отказ, срещу които тясното правило да спечели. Всяка група, прикачена към инстанцията, добавя своите разрешения към един общ набор и широкото правило, което сте забравили, все още е в него. Превръщането на инстанцията в само-VPN означава одит на всички тях, а не добавяне на по-добре звучащо правило към една.

Запишете услугата, преди да напишете правилото

Започнете с точната дестинация, протокол и порт, както и с мрежовия интерфейс, на който услугата действително слуша. Инстанция с няколко интерфейса или няколко услуги на един порт изисква одитът да се направи за всеки интерфейс, защото прикачените групи може да се различават. След това определете кой адрес на източника този интерфейс действително получава за VPN потребител, а не адреса, който клиентът показва в собствения си прозорец за връзка.

Тези два адреса се разминават по-често, отколкото хората очакват, щом влязат в игра транслация и маршрутизация.

Три модела на източник, три различни правила

При частен маршрутизиран достъп инстанцията получава пула от клиенти или корпоративния диапазон, в зависимост от това как пътят се маршрутизира и транслира. При публична крайна точка, достигната през корпоративен изход, инстанцията вижда вместо това корпоративния NAT адрес и само ако тази дестинация наистина използва VPN пътя, тъй като разделеното тунелиране може да я остави на домашна връзка. При управлявана крайна точка Client VPN се прилага документираният модел на свързване и целева мрежа, а клиентският адрес идва от конфигурирания клиентски CIDR.

Това, което не работи, е да посочите VPN шлюз като източник на група за сигурност. Препратките към групи съвпадат с еластични мрежови интерфейси във VPC или в свързана мрежа, а шлюз, който препраща пакети, не е един от тях.

Прочетете обединението през всички прикачени групи

Отворете инстанцията, намерете мрежовия ѝ интерфейс и избройте всяка прикачена към него група за сигурност. За всяка проверете всяко правило, което покрива вашия протокол и порт, включително широки диапазони от портове и двете семейства адреси. Правило IPv4 от 0.0.0.0/0 не ви освобождава от проверка на ::/0, а правило, разрешаващо целия трафик, напълно скрива въпроса за порта. Едва след този инвентар можете да кажете какво е ефективното разрешение за услугата.

Справочникът на правилата на AWS описва групите за сигурност като само-разрешаващи и посочва, че правилата от всички прикачени групи се агрегират, а това е целият механизъм зад този провал.

Мрежовите ACL са отделна политика без състояние с подредени записи за разрешаване и отказ и се оценяват на подмрежата, а не на инстанцията.

Не отговаряйте със стена от откази

Добавянето на NACL отказ за цялата подмрежа, за да имитирате познат файлуол, е грешен инструмент и е рисков. Записите на NACL са подредени и без състояние, така че отказ, поставен над съществуващо разрешение, тихо чупи несвързан трафик, включително обратния път за сесиите, които сте се опитвали да запазите. Поправете широкото разрешение на групата за сигурност в групата, която го притежава, след което оставете ACL на мира, освен ако той наистина не е част от дизайна.

Премахването на публичен адрес от инстанцията е по-силна гаранция и също е архитектурна промяна с административни и приложни последствия, а не отметка в списък с разрешения.

Тествайте с нова сесия и запазете път за вход

Преди да премахнете каквото и да е съществуващо разрешение, потвърдете одобрен независим административен път, защото правилото, което ще изтриете, може да е това, от което зависи възстановяването на сесията ви. След това тествайте нова разрешена връзка от VPN и нова отказана връзка от разрешен тестов път без VPN. Съществуващите проследявани сесии преживяват промени на правилата по начин, който прави старите отворени обвивки безполезни като доказателство за приемане.

Накрая, запазете собствената авторизация на приложението. Транслиран корпоративен изход може да представлява стотици хора, а мрежовият достъп никога не е идентифицирал отделен потребител или неговото устройство.