Ομάδα ασφαλείας cloud για VPN: ανοίξτε τον ακροατή, όχι τα πάντα

Ο διακομιστής VPN εκτελείται, ο πελάτης λήγει σε χρονικό όριο και η πρώτη παρόρμηση είναι να προστεθεί στην ομάδα ασφαλείας ένας κανόνας που επιτρέπει τα πάντα. Μερικές φορές αυτό το κάνει να λειτουργεί, και αυτό είναι το χειρότερο αποτέλεσμα, γιατί τώρα κανείς δεν ξέρει ποιο όριο έκλεισε πραγματικά. Τέσσερα ξεχωριστά φίλτρα βρίσκονται ανάμεσα στον πελάτη και τον δαίμονα, και μόνο ένα από αυτά είναι η ομάδα ασφαλείας.

Ονομάστε το πρωτόκολλο πριν από τον κανόνα

Ένας κανόνας είναι πρωτόκολλο, εύρος θυρών και πηγή. Το WireGuard ακούει σε UDP, συνήθως 51820. OpenVPN είναι συνήθως UDP ή TCP 1194 ανάλογα με τη διαμόρφωση. Το IPsec χρειάζεται την ανταλλαγή IKE σε UDP 500 και 4500, καθώς και το ίδιο το πρωτόκολλο ESP, που είναι αριθμός πρωτοκόλλου και όχι θύρα. Το να μαντέψει κανείς TCP επειδή οι άλλοι κανόνες είναι TCP οδηγεί σε έναν κανόνα που φαίνεται σωστός και δεν ταιριάζει με τίποτα.

Διαβάστε τον ακροατή από την εκτελούμενη υπηρεσία, όχι από έναν οδηγό. Ένας δαίμονας δεσμευμένος σε μία διεύθυνση δεν θα δεχτεί κίνηση που φτάνει σε άλλη.

Περιορίστε την πηγή στο εύρος πελατών που επιτρέπει ο σχεδιασμός, αντί σε ολόκληρο το διαδίκτυο.

Οι ομάδες ασφαλείας διατηρούν κατάσταση· τα ACL υποδικτύου όχι

Οι ομάδες ασφαλείας διατηρούν κατάσταση και μόνο επιτρέπουν: μια επιτρεπτή εισερχόμενη ροή παίρνει τις απαντήσεις της αυτόματα, και δεν υπάρχει κανόνας άρνησης για σκέψη. Τα ACL υποδικτύου είναι χωρίς κατάσταση και αξιολογούνται και στις δύο κατευθύνσεις, οπότε μια εισερχόμενη άδεια χωρίς το αντίστοιχο εξερχόμενο εφήμερο εύρος αποτυγχάνει ακόμα. Αυτή η διαφορά εξηγεί πολλούς κανόνες που φαίνονται σωστοί στην κονσόλα.

Επιβεβαιώστε επίσης ποια πολιτική είναι συνδεδεμένη στο εκτελούμενο τελικό σημείο, καθώς ένα στιγμιότυπο μπορεί να έχει περισσότερες από μία ομάδες και ένας κανόνας σε μη συνδεδεμένη ομάδα δεν αλλάζει τίποτα.

Η αποτελεσματική πολιτική είναι η ένωση όσων είναι συνδεδεμένα, όχι το αρχείο που επεξεργαστήκατε.

Το τείχος προστασίας του κεντρικού υπολογιστή είναι ξεχωριστό όριο

Η πολιτική του cloud επιτρέπει την κίνηση προς τη διεπαφή δικτύου και μετά το λειτουργικό σύστημα αποφασίζει αν ο δαίμονας θα τη δει. Τείχος προστασίας κεντρικού υπολογιστή με πολιτική άρνησης κατά προεπιλογή θα απορρίψει ένα πακέτο που επέτρεψε η ομάδα ασφαλείας, και η κονσόλα του cloud δεν θα δείξει άρνηση γιατί ποτέ δεν είχε γνώμη. Ελέγξτε και τα δύο, με τη σειρά που το πακέτο τα συναντά.

Αν ο κεντρικός υπολογιστής χρησιμοποιεί διεπαφή τείχους προστασίας της διανομής, επιβεβαιώστε τους υποκείμενους κανόνες αντί για το όνομα του προφίλ, γιατί ένα προφίλ μπορεί να είναι ενεργό ενώ η θύρα είναι κλειστή.

Μια λήψη στη διεπαφή σας λέει ποιο όριο απέρριψε το πακέτο.

Το να επιτρέψετε τον ακροατή δεν είναι δρομολόγηση των πελατών

Μια πύλη VPN που προωθεί την κίνηση πελατών χρειάζεται περισσότερα από μια ανοιχτή θύρα. Χρειάζεται προώθηση IP, πολιτική που επιτρέπει τη ροή από τη διεπαφή του τούνελ στο δίκτυο προορισμού και συχνά απενεργοποιημένο έλεγχο πηγής-προορισμού στη διεπαφή ώστε η πλατφόρμα να μην απορρίπτει κίνηση που δεν απευθύνεται σε αυτήν. Τίποτα από αυτά δεν δημιουργείται από τον κανόνα του ακροατή.

Εδώ χωρίζουν μια λειτουργική χειραψία και μια σπασμένη διαδρομή δεδομένων, και γι' αυτό μια κατάσταση τούνελ μπορεί να φαίνεται υγιής ενώ δεν φορτώνει τίποτα.

Διορθώστε τη δρομολόγηση ως ξεχωριστή αλλαγή με δική της επαλήθευση και σημειώστε ότι μια πύλη που προωθεί χρειάζεται επίσης πολιτική εξόδου που επιτρέπει τον προορισμό.

Κρατήστε έναν δρόμο επιστροφής και μετά περιορίστε τον κανόνα

Πριν αλλάξετε την πολιτική του απομακρυσμένου τείχους προστασίας, επιβεβαιώστε ότι υπάρχει ανεξάρτητη διαδρομή διαχείρισης, όπως διαχειριστής συνεδριών, σειριακή κονσόλα ή δίκτυο εκτός ζώνης. Αν η μόνη διαδρομή διαχείρισης περνά από τον κανόνα που επεξεργάζεστε, δεν έχετε ανάκτηση. Στη συνέχεια εφαρμόστε τον στενό κανόνα, δοκιμάστε από πραγματικό πελάτη και συσχετίστε την προσπάθεια με στοιχεία από την πλευρά του διακομιστή. Μια απάντηση από άλλη υπηρεσία στο ίδιο μηχάνημα δεν αποδεικνύει ότι ο ακροατής προσεγγίστηκε.

Αφαιρέστε οποιαδήποτε πειραματική ευρεία άδεια μόλις λειτουργήσει η στενή, και σημειώστε γιατί υπάρχει ο κανόνας. Η AWS τεκμηριώνει τη συμπεριφορά διατήρησης κατάστασης των ομάδων ασφαλείας, και αυτό είναι το έγγραφο που πρέπει να επικαλείστε όταν κάποιος προτείνει ένα ευρύ εύρος ως συντόμευση.

Τεκμηριώστε και τη σύνδεση, αλλιώς μια διεπαφή αντικατάστασης θα χάσει την πολιτική σιωπηλά.