Grup de seguretat al núvol per a una VPN: obre l'oient, no tot

El servidor VPN funciona, el client es queda sense temps d'espera i el primer impuls és afegir una regla que ho permeti tot al grup de seguretat. De vegades això ho fa funcionar, i és el pitjor resultat, perquè ara ningú no sap quina frontera s'ha tancat realment. Hi ha quatre filtres separats entre el client i el dimoni, i només un d'ells és el grup de seguretat.

Nomena el protocol abans que la regla

Una regla és un protocol, un interval de ports i una origen. WireGuard escolta a UDP, normalment 51820. OpenVPN sol ser UDP o TCP 1194 segons com s'hagi configurat. IPsec necessita l'intercanvi IKE a UDP 500 i 4500, a més del mateix protocol ESP, que és un número de protocol i no un port. Suposar TCP perquè les altres regles són TCP és com s'acaba amb una regla que sembla correcta i no encaixa amb res.

Llegeix l'oient del servei en execució, no d'un tutorial. Un dimoni lligat a una adreça no acceptarà trànsit que arribi a una altra.

Restringeix l'origen a l'interval de clients que permet el disseny, en lloc de tot internet.

Els grups de seguretat tenen estat; les ACL de subxarxa no

Els grups de seguretat tenen estat i només permeten: un flux d'entrada permès rep les respostes automàticament, i no hi ha cap regla de denegació sobre la qual raonar. Les ACL de subxarxa no tenen estat i s'avaluen en totes dues direccions, així que un permís d'entrada sense l'interval efímer de sortida corresponent encara falla. Aquesta diferència explica moltes regles que semblen correctes a la consola.

Confirma també quina política està adjunta al punt de connexió en execució, ja que una instància pot tenir més d'un grup i una regla en un grup no adjunt no canvia res.

La política efectiva és la unió del que està adjunt, no el fitxer que has editat.

El tallafoc de l'amfitrió és una frontera separada

La política del núvol admet el trànsit fins a la interfície de xarxa, i després el sistema operatiu decideix si el dimoni el veu. Un tallafoc de l'amfitrió amb una política de denegació per defecte descartarà un paquet que el grup de seguretat havia permès, i la consola del núvol no mostrarà cap denegació perquè mai no n'ha tingut opinió. Comprova tots dos, en l'ordre en què el paquet els troba.

Si l'amfitrió fa servir una interfície de tallafoc de la distribució, confirma les regles subjacents en lloc del nom del perfil, perquè un perfil pot estar actiu mentre el port és tancat.

Una captura a la interfície et diu quina frontera ha descartat el paquet.

Admetre l'oient no és encaminar els clients

Una passarel·la VPN que reexpedeix el trànsit dels clients necessita més que un port obert. Necessita reenviament IP, una política que permeti el flux de la interfície del túnel a la xarxa de destinació i sovint una comprovació d'origen i destinació desactivada a la interfície perquè la plataforma no descarti trànsit que no va adreçat a ella. Res d'això no ho crea la regla de l'oient.

Aquí és on se separen un handshake que funciona i un camí de dades trencat, i per això l'estat del túnel pot semblar sa mentre no carrega res.

Arregla l'encaminament com un canvi a part amb la seva pròpia verificació, i tingues en compte que una passarel·la que reexpedeix també necessita una política de sortida que permeti la destinació.

Mantén una via de retorn i després estreny la regla

Abans de canviar la política del tallafoc remot, confirma que existeix una via de gestió independent, com ara un gestor de sessions, una consola sèrie o una xarxa fora de banda. Si l'única via de gestió passa per la regla que estàs editant, no tens recuperació. Després aplica la regla estreta, prova des d'un client real i correlaciona l'intent amb proves del costat del servidor. Una resposta d'un altre servei a la mateixa màquina no és prova que s'hagi arribat a l'oient.

Elimina qualsevol permís ampli experimental tan bon punt funcioni l'estret, i anota per què existeix la regla. AWS documenta el comportament amb estat dels grups de seguretat, i aquest és el document a citar quan algú proposa un interval ampli com a drecera.

Documenta també l'adjunció, o una interfície de substitució perdrà la política en silenci.