Regla d'EC2 només per a VPN: tots els grups de seguretat associats han de coincidir

Afegiu una regla d'entrada per al pool de clients VPN, no traieu res i el servei continua sent accessible des d'internet. No hi ha res trencat. Un grup de seguretat no té cap anul·lació, cap prioritat ni cap denegació final contra la qual la regla estreta pugui guanyar. Cada grup associat a la instància aporta els seus propis permisos a un conjunt combinat, i la regla àmplia que heu oblidat encara és en aquest conjunt. Fer que la instància sigui només VPN vol dir auditar-los tots, no afegir una regla que soni millor a un de sol.

Escriviu el servei abans d'escriure la regla

Comenceu per la destinació exacta, el protocol i el port, i la interfície de xarxa on el servei realment escolta. Una instància amb diverses interfícies o diversos serveis en un port necessita l'auditoria per interfície, perquè els grups associats poden diferir. Després determineu quina adreça d'origen rep realment aquesta interfície per a un usuari VPN, en lloc de l'adreça que el client mostra a la seva pròpia finestra de connexió.

Aquestes dues adreces divergeixen més sovint del que la gent espera quan hi entren la traducció i l'encaminament.

Tres models d'origen, tres regles diferents

Amb accés privat encaminat, la instància rep el pool de clients o el rang corporatiu, segons com s'encamini i es tradueixi el camí. Amb un punt de connexió públic assolit a través de la sortida corporativa, la instància veu en canvi l'adreça NAT corporativa, i només si aquesta destinació utilitza realment el camí VPN, ja que el túnel dividit pot deixar-lo en una connexió domèstica. Amb un punt de connexió Client VPN gestionat, s'aplica el model documentat d'associació i xarxa de destinació, i l'adreça del client prové del CIDR de client configurat.

El que no funciona és referenciar una passarel·la VPN com a origen d'un grup de seguretat. Les referències de grup coincideixen amb interfícies de xarxa elàstiques dins de la VPC o d'una xarxa emparellada, i una passarel·la que reenvia paquets no n'és una.

Llegiu la unió de tots els grups associats

Obriu la instància, trobeu la seva interfície de xarxa i llisteu cada grup de seguretat associat. Per a cadascun, reviseu cada regla que cobreixi el vostre protocol i port, incloent-hi rangs de ports amplis i les dues famílies d'adreces. Una regla IPv4 de 0.0.0.0/0 no us eximeix de comprovar ::/0, i una regla que permet tot el trànsit amaga del tot la qüestió del port. Només després d'aquest inventari podeu dir quin és el permís efectiu per al servei.

La referència de regles d'AWS descriu els grups de seguretat com a només-permetre i afirma que les regles de tots els grups associats s'agreguen, que és tot el mecanisme darrere d'aquesta fallada.

Les ACL de xarxa són una política separada i sense estat amb entrades ordenades de permetre i denegar, i s'avaluen a la subxarxa, no a la instància.

No respongueu amb un mur de denegacions

Afegir una denegació NACL a tota la subxarxa per imitar un tallafoc al qual esteu acostumats és l'eina equivocada i una de risc. Les entrades NACL són ordenades i sense estat, així que una denegació col·locada per sobre d'un permís existent trenca silenciosament trànsit no relacionat, inclòs el camí de retorn de les sessions que volíeu conservar. Arregleu el permís ampli del grup de seguretat al grup que el posseeix, i després deixeu l'ACL en pau tret que formi part realment del disseny.

Treure una adreça pública de la instància és una garantia més forta, i també és un canvi arquitectònic amb conseqüències administratives i d'aplicació, no una casella en una llista de permisos.

Proveu amb una sessió nova i conserveu una manera d'entrar

Abans de retirar qualsevol permís existent, confirmeu un camí d'administració independent i aprovat, perquè la regla que esteu a punt d'eliminar pot ser la que sosté la recuperació de la vostra sessió. Després proveu una connexió permesa nova des de la VPN i una connexió denegada nova des d'un camí de prova autoritzat que no sigui VPN. Les sessions rastrejades existents sobreviuen als canvis de regles de maneres que fan que les velles shells obertes siguin inútils com a prova d'acceptació.

Finalment, manteniu l'autorització pròpia de l'aplicació. Una sortida corporativa traduïda pot representar centenars de persones, i l'admissió a la xarxa mai va identificar un usuari individual ni el seu dispositiu.