Porth VPN wedi’i fflagio gan feincnod? Gwiriwch gwmpas y rheolaeth

Mae eich sganiwr yn fflagio’r porth VPN, mae’r tocyn yn ail-eirio hynny fel gwrandäwr cyhoeddus, ac mae’r ddadl sy’n dilyn yn ymwneud â ph’un a yw’r amlygiad yn real. Anaml y mae’r canfyddiad yn dweud yr hyn y mae’r darllenydd yn ei dybio. Mae’n dyfynnu rheolaeth feincnod â chwmpas sefydlog, a dim ond un mewnbwn i’r cwmpas hwnnw yw’r rhif porth.

Darllenwch y rheolaeth cyn amddiffyn y porth. Canfyddiad sy’n darllen fel dedfryd yw paragraff a gymhwysir i un adnodd fel arfer.

Beth mae’r rhes ganfyddiad yn ei ddyfynnu mewn gwirionedd

Mae pob canfyddiad meincnod yn cario pedair peth sy’n werth eu gwahanu: y ddogfen a’r adolygiad y daeth ohonynt, yr adnodd a aseswyd, y paragraff a sbardunodd y canlyniad, a’r cwmpas a gyflawnodd yr archwiliad mewn gwirionedd. Mae timau fel arfer yn dyfynnu’r adnodd yn unig — grŵp diogelwch neu ACL rhwydwaith neu westeiwydd — ac yna dadlau am y porth. Y paragraff sy’n penderfynu a oedd eich gwrandäwr o fewn y cwmpas o gwbl. Hebdo, rydych yn dadlau am rif yn lle rheol.

Mae dogfennaeth Amazon Security Hub yn cadw’r gwahaniad hwnnw’n weladwy heb PDF tu ôl i bae mur:y dudalen rheolaethau EC2 yn rhestru gwiriadau grŵp diogelwch ar gyfer mynediad heb gyfyngiad ar borthladdoedd 22 a 3389, ac yn trin ACLau rhwydwaith fel adnodd gwahanol â’i amodau ei hun. Yr un porthladdoedd gweinyddu, gwrthrych gwahanol, prawf gwahanol. Dyna’r manylder a etifeddodd canfyddiad.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Gwahanwch y gwrandäwr cyhoeddus o fynediad gweinyddol

Mae gwrandäwr VPN sy’n derbyn UDP 1194 o’r rhyngrwyd a gwasanaeth SSH sy’n cyrraeddadwy dim ond ar ôl derbyn yn llwybrau amlygiad gwahanol. Efallai na fydd y gwiriad sy’n cwmpasu’r cyntaf yn dweud dim am yr ail, ac efallai y bydd y gwiriad sy’n cwmpasu’r ail yn anwybyddu’r cyntaf. Nid yw canlyniad llwyddiannus ar un yn ddatganiad am y llall, waeth pa mor debyg y mae’r ddau yn swnio mewn cyfarfod statws.

Triniwch bob llwybr fel ei res ei hun yn yr adolygiad.

Yna gwiriwch beth mae’r porth ei hun yn ei awdurdodi. Nid yw derbyn twnnel yr un peth â rhoi hawliau gweinyddol ar y porth, ac nid yw’r naill na’r llall yn hafal i gyrraedd gweinydd y tu ôl iddo. Rhannwch y cwestiwn yn pwy all gysylltu, pwy all weinyddu, a beth all y twnnel ei gyrraedd. Daw’r tri ateb hynny o wahanol systemau ac maent yn cael eu huno’n rheolaidd yn un frawddeg na all neb weithredu arni.

Yr adnodd sy’n penderfynu a yw’r porth hyd yn oed o fewn y cwmpas

Gall rheol grŵp diogelwch, cofnod ACL is-rwydwaith a rheol wal dân gwesteiwydd oll ganiatáu traffig, eto dim ond un ohonynt all fod y gwrthrych y mae’r rheolaeth yn ei werthuso. Mae caniatâd effeithiol yn golygu cyfuno grwpiau paralel, y ddwy deulu cyfeiriad, ac unrhyw reol gwrthod o’u blaenau. Gall porth sy’n methu gwiriad ar lefel grŵp fod yn anhydraethadwy o hyd, a gall porth sy’n ei basio fod wedi’i rwystro’n ddyfnach.

Dyma lle mae trawsblannu rheolau amgylchedd arall yn mynd o’i le. Mae ACLau rhwydwaith yn ddi-stat ac yn cael eu gwerthuso mewn trefn; mae grwpiau diogelwch yn cadw stat ac yn caniatáu’n unig. Nid yw model rheolau benthyg o’r naill yn disgrifio’r llall, ac mae ei gyfieithu’n cynhyrchu ateb hyderus am y gwrthrych anghywir.

Cofnodwch y penderfyniad fel y bydd yr archwiliad nesaf yn ei ailddefnyddio

Pan fo’r cwmpas yn wirioneddol amwys, nodwch adolygiad y rheolaeth, dynodwr yr adnodd, y paragraff fel y’i dyfynnwyd, a’r dystiolaeth a’i datrysodd. Cynnwys yr hyn a eithriwyd gennych a pham. Y cofnod hwnnw sy’n gadael i ail adolygydd gyrraedd yr un casgliad heb ailddarllen y meincnod cyfan, a hwn yw’r unig beth sy’n goroesi trosiant staff.

Mae nodyn sy’n dweud “porth VPN wedi’i adolygu” yn gwarantu y bydd y ddadl yn dychwelyd y chwarter nesaf. Enwch yr asesydd, yr adolygiad a’r dystiolaeth yn lle hynny.