Mae rheolau AWS Client VPN yn perthyn i'r adnodd, nid i'r isrwyd

Mae angen i staff gyrraedd un cymhwysiad yn y VPC ac ni chaniateir iddynt gyrraedd gwrandäwr y gronfa ddata ar yr un enghraifft, felly mae rhywun yn ychwanegu ail isrwyd gyhoeddus ar gyfer endpoint y VPN ac yn dweud bod y gofyniad wedi'i fodloni. Mae lleoliad yr isrwyd yn newid llwybro ac argaeledd. Nid yw'n rhoi nac yn atal un porth. Mae'r caniatâd sy'n mynegi'r gofyniad yn byw yn y gyrchfan, yng ngrŵp diogelwch yr adnodd, ac mae ffin y VPN yn darparu'r handlen y cyfeiria'r rheol honno ati.

Llwybro yw lleoliad yr isrwyd, nid awdurdodi

Mae lle mae cysylltiad rhwydwaith yr endpoint yn eistedd yn penderfynu pa dabl llwybro sy'n cario traffig y cleientiaid a pha barthau argaeledd sy'n goroesi methiant. Nid yw'n dweud dim am ba borth ar ba enghraifft y gall y traffig hwnnw ei gyrraedd. Mae dau gleient sy'n gysylltiedig â'r un isrwyd yn cyrraedd gyda'r un hunaniaeth ffynhonnell, ac ni all yr adnodd eu gwahaniaethu wrth enw'r isrwyd.

Dechreuwch o'r gofyniad yn lle hynny: pwy sy'n galw, pa adnodd, pa borth gwasanaeth, a pha gyfeiriad. Yna dewiswch y model rheol a all fynegi'r pedair peth hynny yn y gyrchfan. Mae'r fframwaith hwnnw fel arfer yn dileu'r isrwyd ychwanegol o'r dyluniad yn gyfan gwbl.

Grŵp cysylltu Client VPN yw'r handlen

Ar gyfer endpoint AWS Client VPN sy'n gysylltiedig ag isrwyd, mae'r trefniant a ddogfennwyd yn benodol. Cymhwyswch y grŵp diogelwch arfaethedig i gysylltiadau rhwydwaith targed yr endpoint, yna caniatáu'r traffig gofynnol yng ngrŵp diogelwch yr adnodd gan ddefnyddio'r grŵp Client VPN hwnnw fel y ffynhonnell.

Yn benodol, mae grŵp enghraifft y cymhwysiad yn caniatáu porth y cymhwysiad o'r grŵp cysylltu, a dim arall. Mae gweithdrefn mynediad i adnodd AWS yn disgrifio'r berthynas honno, ac mae'n werth cadw'r un polisi grŵp ar draws pob isrwyd y mae'r endpoint yn cysylltu â hi, oherwydd mae cysylltiad hen ffasiwn â grŵp gwahanol yn lledu'r ffin yn dawel.

Nid yw'r rheol honno'n dilysu unrhyw un. Mae mewngofnodi yn reolaeth ar wahân, ac mae'r llwybr i'r adnodd yn drydydd. Rhaid i'r tri ddal cyn i gais gyrraedd. Beth bynnag sy'n methu sy'n penderfynu pa welliant sy'n gywir, a newid rheol yw'r ateb cywir ar gyfer y cyntaf yn unig.

Beth na all un grŵp cysylltu ei wahaniaethu

Mae pob cleient y tu ôl i'r un grŵp cysylltu yn cyrraedd yr adnodd fel yr un ffynhonnell grŵp diogelwch. Mae dau ddefnyddiwr â rolau gwahanol yn annatodadwy yn y haen honno, ni waeth sut mae'r grŵp yn cael ei enwi neu ei dagio. Mae awdurdodi grwpiau allanol Client VPN yn cyfyngu mynediad yn ôl rhagddodiad cyrchfan ar gyfer grŵp cyfeiriadur neu SAML, sy'n fwy garw na rôl adnodd a dylid ei drin fel ffin rwydwaith yn hytrach na system hunaniaeth.

Mae gwahaniaethau manylach yn perthyn i'r cymhwysiad. Mae gwrandäwr cronfa ddata sy'n rhaid iddo aros ar gau i'r rhan fwyaf o staff yn cael ei amddiffyn yn well drwy beidio â bod yn gyrraeddadwy o gwbl ar y rhagddodiad a ganiateir nag drwy obeithio y bydd aelodaeth y grŵp yn aros yn drefnus.

Nid yw ailenwi'r grŵp yn creu hunaniaeth, ac mae ei ddyblygu fesul tîm yn lluosi'r cysylltiadau sydd i'w harchwilio.

Peidiwch â chopïo'r rheol honno i bob dyluniad VPN

Mae porth EC2 VPN hunanreoledig, teclyn archwilio wedi'i lwybro a Client VPN rheoledig yn dri llwybr pecyn gwahanol. Sefydlwch pa gyfeiriad ffynhonnell sy'n cyrraedd yr adnodd mewn gwirionedd, a oes cyfieithu yn y canol, a pha fecanweithiau cyfeirio y mae'r gwasanaeth yn eu cefnogi ar y llwybr hwnnw.

Nid yw anfon traffig drwy flwch canol yn cadw cyfeiriad grŵp diogelwch ffynhonnell fel y mae traffig uniongyrchol rhwng enghreifftiau yn ei wneud. Mae AWS yn dogfennu y gallai dyluniadau o'r fath fod angen y cyfeiriadau ffynhonnell preifat priodol neu CIDRau yn lle cyfeiriad grŵp. Nid yw gweithdrefn Client VPN rheoledig yn brawf bod grŵp atodedig pob porth yn gweithio fel tocyn hunaniaeth cyffredinol ar gyfer pecynnau a anfonir ymlaen.

Mae un naid NAT ar y llwybr yn ddigon i dorri'r rhagdybiaeth, ac mae'r methiant yn edrych fel rheol sydd yn bresennol ond byth yn cyfateb.

Adolygwch y ffin effeithiol

Darllenwch bob grŵp diogelwch sydd ynghlwm wrth yr adnodd, oherwydd mae rheolau caniatáu yn cyfuno ac nid yw rheol gyfyng yn canslo un ehangach ar grŵp arall. Yna gwiriwch yr ACL rhwydwaith, wal dân y gwesteiwr ac awdurdodiad y cymhwysiad ei hun, sef haenau ar wahân â chamgymeriadau ar wahân.

Gorffennwch ag un cais a ganiateir ac un cais a eithrir yn fwriadol yn erbyn yr un adnodd. Mae'r pâr yn profi'r ffin, tra nad yw un cysylltiad llwyddiannus yn profi dim ond bod rhywbeth ar agor. Cadarnhewch y llwybr, y ffynhonnell effeithiol a'r porth gwasanaeth arfaethedig yn hytrach na'r isrwyd sy'n cynnwys yr endpoint.

Trefn y gwaith: ysgrifennwch y gofyniad pedair rhan, atodwch y grŵp i'r cysylltiadau, cyfyngwch reol yr adnodd i'r porth, gwiriwch un caniatâd ac un gwrthodiad, ac yn unig wedyn ystyriwch rannu isrwydi am resymau llwybro.