Οι κανόνες του AWS Client VPN ανήκουν στον πόρο, όχι στο υποδίκτυο

Το προσωπικό πρέπει να φτάνει σε μία εφαρμογή στο VPC και δεν πρέπει να φτάνει στον listener της βάσης δεδομένων στο ίδιο instance, οπότε κάποιος προσθέτει ένα δεύτερο δημόσιο υποδίκτυο για το endpoint VPN και θεωρεί την απαίτηση καλυμμένη. Η θέση του υποδικτύου αλλάζει τη δρομολόγηση και τη διαθεσιμότητα. Δεν παραχωρεί ούτε αρνείται ούτε μία θύρα. Η άδεια που εκφράζει την απαίτηση βρίσκεται στον προορισμό, στην ομάδα ασφαλείας του πόρου, και το όριο του VPN παρέχει τη λαβή στην οποία αναφέρεται αυτός ο κανόνας.

Η θέση του υποδικτύου είναι δρομολόγηση, όχι εξουσιοδότηση

Το πού βρίσκεται η συσχέτιση δικτύου του endpoint καθορίζει ποιος πίνακας δρομολόγησης μεταφέρει την κίνηση των πελατών και ποιες ζώνες διαθεσιμότητας επιβιώνουν από μια βλάβη. Δεν λέει τίποτα για το ποια θύρα σε ποιο instance μπορεί να φτάσει αυτή η κίνηση. Δύο πελάτες συσχετισμένοι με το ίδιο υποδίκτυο φτάνουν με την ίδια ταυτότητα πηγής και ο πόρος δεν μπορεί να τους ξεχωρίσει με το όνομα του υποδικτύου.

Ξεκινήστε αντίθετα από την απαίτηση: ποιος καλεί, ποιος πόρος, ποια θύρα υπηρεσίας και ποια κατεύθυνση. Έπειτα επιλέξτε το μοντέλο κανόνα που μπορεί να εκφράσει αυτά τα τέσσερα στον προορισμό. Αυτό το πλαίσιο συνήθως αφαιρεί εντελώς το επιπλέον υποδίκτυο από τον σχεδιασμό.

Η ομάδα συσχέτισης του Client VPN είναι η λαβή

Για ένα endpoint AWS Client VPN συσχετισμένο με υποδίκτυο, η τεκμηριωμένη διάταξη είναι συγκεκριμένη. Εφαρμόστε την προβλεπόμενη ομάδα ασφαλείας στις συσχετίσεις δικτύου-στόχου του endpoint και έπειτα επιτρέψτε την απαιτούμενη κίνηση στην ομάδα ασφαλείας του πόρου χρησιμοποιώντας αυτή την ομάδα Client VPN ως πηγή.

Συγκεκριμένα, η ομάδα του instance της εφαρμογής επιτρέπει τη θύρα της εφαρμογής από την ομάδα συσχέτισης και τίποτα άλλο. Η διαδικασία πρόσβασης σε πόρο της AWS περιγράφει αυτή τη σχέση και αξίζει να κρατάτε την ίδια πολιτική ομάδας σε κάθε υποδίκτυο με το οποίο συσχετίζεται το endpoint, γιατί μια παρωχημένη συσχέτιση με άλλη ομάδα διευρύνει αθόρυβα το όριο.

Αυτός ο κανόνας δεν ταυτοποιεί κανέναν. Η σύνδεση είναι ξεχωριστός έλεγχος και η διαδρομή προς τον πόρο είναι τρίτη. Και τα τρία πρέπει να ισχύουν πριν φτάσει ένα αίτημα. Όποιο αποτύχει καθορίζει ποια διόρθωση είναι σωστή και η αλλαγή κανόνα είναι η σωστή απάντηση μόνο για το πρώτο.

Τι δεν μπορεί να ξεχωρίσει μία ομάδα συσχέτισης

Κάθε πελάτης πίσω από την ίδια ομάδα συσχέτισης φτάνει στον πόρο ως η ίδια πηγή ομάδας ασφαλείας. Δύο χρήστες με διαφορετικούς ρόλους δεν διακρίνονται σε αυτό το επίπεδο, ό,τι όνομα ή ετικέτα κι αν έχει η ομάδα. Η εξουσιοδότηση εξωτερικών ομάδων του Client VPN περιορίζει την πρόσβαση κατά πρόθεμα προορισμού για ομάδα καταλόγου ή SAML, που είναι πιο χονδρική από έναν ρόλο πόρου και πρέπει να αντιμετωπίζεται ως όριο δικτύου και όχι ως σύστημα ταυτότητας.

Οι λεπτότερες διακρίσεις ανήκουν στην εφαρμογή. Ένας listener βάσης δεδομένων που πρέπει να μένει κλειστός για το μεγαλύτερο μέρος του προσωπικού προστατεύεται καλύτερα όταν δεν είναι καθόλου προσβάσιμος στο επιτρεπόμενο πρόθεμα παρά ελπίζοντας ότι η συμμετοχή στην ομάδα θα μείνει τακτική.

Η μετονομασία της ομάδας δεν δημιουργεί ταυτότητα και η αντιγραφή της ανά ομάδα εργασίας απλώς πολλαπλασιάζει τις συσχετίσεις προς έλεγχο.

Μην αντιγράψετε αυτόν τον κανόνα σε κάθε σχεδιασμό VPN

Μια αυτοδιαχειριζόμενη πύλη EC2 VPN, μια δρομολογημένη συσκευή επιθεώρησης και το διαχειριζόμενο Client VPN είναι τρεις διαφορετικές διαδρομές πακέτων. Καθορίστε ποια διεύθυνση πηγής φτάνει πραγματικά στον πόρο, αν γίνεται μετάφραση στη διαδρομή και ποιους μηχανισμούς αναφοράς υποστηρίζει η υπηρεσία σε αυτή τη διαδρομή.

Η προώθηση κίνησης μέσω ενδιάμεσης συσκευής δεν διατηρεί αναφορά ομάδας ασφαλείας πηγής όπως η άμεση κίνηση instance-to-instance. Η AWS τεκμηριώνει ότι τέτοιοι σχεδιασμοί μπορεί να χρειάζονται τις κατάλληλες ιδιωτικές διευθύνσεις πηγής ή CIDR αντί για αναφορά ομάδας. Η διαδικασία του διαχειριζόμενου Client VPN δεν αποτελεί απόδειξη ότι η συνδεδεμένη ομάδα κάθε πύλης λειτουργεί ως καθολικό διακριτικό ταυτότητας για προωθούμενα πακέτα.

Ένα άλμα NAT στη διαδρομή αρκεί για να σπάσει η υπόθεση και η βλάβη μοιάζει με κανόνα που υπάρχει αλλά δεν ταιριάζει ποτέ.

Ελέγξτε το πραγματικό όριο

Διαβάστε κάθε ομάδα ασφαλείας συνδεδεμένη στον πόρο, γιατί οι κανόνες επιτρεπτού συνδυάζονται και ένας στενός κανόνας δεν ακυρώνει έναν ευρύτερο σε άλλη ομάδα. Έπειτα ελέγξτε το ACL δικτύου, το firewall του host και την εξουσιοδότηση της ίδιας της εφαρμογής, που είναι ξεχωριστά επίπεδα με ξεχωριστά λάθη.

Ολοκληρώστε με ένα επιτρεπόμενο και ένα σκόπιμα αποκλεισμένο αίτημα προς τον ίδιο πόρο. Το ζεύγος αποδεικνύει το όριο, ενώ μία μόνο επιτυχημένη σύνδεση αποδεικνύει μόνο ότι κάτι είναι ανοιχτό. Επιβεβαιώστε τη διαδρομή, την πραγματική πηγή και την προβλεπόμενη θύρα υπηρεσίας αντί για το υποδίκτυο που περιέχει το endpoint.

Σειρά εργασίας: γράψτε την απαίτηση των τεσσάρων μερών, συνδέστε την ομάδα στις συσχετίσεις, περιορίστε τον κανόνα του πόρου στη θύρα, επαληθεύστε μία άδεια και μία άρνηση και μόνο τότε εξετάστε τον διαχωρισμό υποδικτύων για λόγους δρομολόγησης.