Rheol EC2 ar gyfer VPN yn unig: rhaid i bob grŵp diogelwch sydd ynghlwm gyd-fynd

Rydych yn ychwanegu un rheol fewnol ar gyfer pwll cleientiaid VPN, heb dynnu dim, ac mae'r gwasanaeth yn dal yn gyrraeddadwy o'r rhyngrwyd. Nid oes dim wedi torri. Nid oes gan grŵp diogelwch unrhyw ddiystyru, blaenoriaeth na gwrthodiad terfynol y gallai'r rheol gul ennill yn ei erbyn. Mae pob grŵp sydd ynghlwm wrth yr achos yn cyfrannu ei ganiatadau ei hun i un set gyfun, ac mae'r rheol lydan y gwnaethoch ei hanghofio yn dal yn y set honno. Gwneud yr achos yn VPN yn unig sy'n golygu archwilio pob un ohonynt, nid ychwanegu rheol sy'n swnio'n well at un.

Ysgrifennwch y gwasanaeth cyn i chi ysgrifennu'r rheol

Dechreuwch gyda'r union gyrchfan, protocol a phorth, a'r rhyngwyneb rhwydwaith y mae'r gwasanaeth yn gwrando arno mewn gwirionedd. Mae angen cynnal yr archwiliad fesul rhyngwyneb ar achos sydd â sawl rhyngwyneb neu sawl gwasanaeth ar un porth, oherwydd gall y grwpiau sydd ynghlwm fod yn wahanol. Yna pennwch pa gyfeiriad ffynhonnell y mae'r rhyngwyneb hwnnw'n ei gael mewn gwirionedd ar gyfer defnyddiwr VPN, yn hytrach na'r cyfeiriad y mae'r cleient yn ei ddangos yn ei ffenestr gyswllt ei hun.

Mae'r ddau gyfeiriad hyn yn gwahanu'n amlach nag y mae pobl yn disgwyl unwaith y bydd cyfieithu a llwybro yn dod i mewn i'r darlun.

Tri model ffynhonnell, tair rheol wahanol

Gyda mynediad llwybrol preifat, mae'r achos yn cael pwll y cleientiaid neu'r ystod gorfforaethol, yn dibynnu ar sut y caiff y llwybr ei lwybro a'i gyfieithu. Gyda phennod cyhoeddus a gyrhaeddir trwy allanfa gorfforaethol, mae'r achos yn gweld cyfeiriad NAT corfforaethol yn lle hynny, a dim ond os yw'r gyrchfan honno'n defnyddio'r llwybr VPN mewn gwirionedd, oherwydd gall tunelu hollt ei adael ar gysylltiad cartref. Gyda phennod Client VPN a reolir, mae'r model cysylltiad a rhwydwaith targed dogfennedig yn berthnasol, ac mae cyfeiriad y cleient yn dod o'r CIDR cleient a ffurfiwyd.

Yr hyn nad yw'n gweithio yw cyfeirio at borth VPN fel ffynhonnell grŵp diogelwch. Mae cyfeiriadau grŵp yn cyfateb i ryngwynebau rhwydwaith elastig o fewn y VPC neu rwydwaith cymharol, ac nid yw porth sy'n anfon pecynnau yn un ohonynt.

Darllenwch yr undeb ar draws pob grŵp sydd ynghlwm

Agorwch yr achos, dowch o hyd i'w ryngwyneb rhwydwaith, a rhestru pob grŵp diogelwch sydd ynghlwm wrtho. Ar gyfer pob un, gwiriwch bob rheol sy'n cwmpasu eich protocol a'ch porth, gan gynnwys ystodau porth llydan a'r ddwy deulu cyfeiriad. Nid yw rheol IPv4 o 0.0.0.0/0 yn eich esgusodi rhag gwirio ::/0, ac mae rheol sy'n caniatáu'r holl draffig yn cuddio'r cwestiwn porth yn llwyr. Dim ond ar ôl y rhestr hon y gallwch ddweud beth yw'r caniatâd effeithiol ar gyfer y gwasanaeth.

Mae cyfeirlyfr rheolau AWS yn disgrifio grwpiau diogelwch fel rhai caniatáu-yn-unig ac yn nodi bod rheolau pob grŵp sydd ynghlwm yn cael eu crynhoi, sef y mecanwaith cyfan y tu ôl i'r methiant hwn.

Mae ACLau rhwydwaith yn bolisi ar wahân, di-gyflwr, gyda chofnodion caniatáu a gwrthod mewn trefn, ac maent yn cael eu gwerthuso ar yr is-rwydwaith yn hytrach nag ar yr achos.

Peidiwch ag ateb â mur o wrthodiadau

Mae ychwanegu gwrthodiad NACL ar draws yr is-rwydwaith i efelychu mur tân yr ydych yn gyfarwydd ag ef yn offeryn anghywir ac yn un peryglus. Mae cofnodion NACL mewn trefn ac yn ddi-gyflwr, felly mae gwrthodiad a osodir uwchben caniatâd presennol yn torri traffig diberthynol yn dawel, gan gynnwys y llwybr dychwelyd ar gyfer y sesiynau yr oeddech yn ceisio eu cadw. Trwsiwch ganiatâd llydan y grŵp diogelwch yn y grŵp sy'n berchen arno, ac yna gadewch yr ACL yn llonydd oni bai ei fod yn rhan wirioneddol o'r dyluniad.

Mae tynnu cyfeiriad cyhoeddus oddi ar yr achos yn warant gryfach, ac mae hefyd yn newid pensaernïol gyda chanlyniadau gweinyddol a chymhwysol yn hytrach na blwch ticio ar restr ganiatáu.

Profwch gyda sesiwn newydd a chadwch ffordd i mewn

Cyn i chi roi'r gorau i unrhyw ganiatâd presennol, cadarnhewch lwybr gweinyddol annibynnol cymeradwy, oherwydd efallai mai'r rheol yr ydych ar fin ei dileu yw'r un y mae adfer eich sesiwn yn dibynnu arni. Yna profwch gysylltiad a ganiateir o'r VPN a chysylltiad a wrthodir o lwybr prawf awdurdodedig nad yw'n VPN. Mae sesiynau olrhain presennol yn goroesi newidiadau rheolau mewn ffyrdd sy'n gwneud hen gregyn agored yn ddiwerth fel tystiolaeth dderbyn.

Yn olaf, cadwch awdurdodiad y cymhwysiad ei hun yn ei le. Gall allanfa gorfforaethol a gyfieithwyd gynrychioli cannoedd o bobl, ac ni wnaeth derbyniad rhwydwaith erioed nodi unigolyn na'i ddyfais.