Κανόνας EC2 μόνο για VPN: κάθε συνδεδεμένη ομάδα ασφαλείας πρέπει να συμφωνεί

Προσθέτετε έναν κανόνα εισερχόμενης κίνησης για το pool των πελατών VPN, δεν αφαιρείτε τίποτα, και η υπηρεσία εξακολουθεί να είναι προσβάσιμη από το διαδίκτυο. Τίποτα δεν είναι χαλασμένο. Μια ομάδα ασφαλείας δεν έχει παράκαμψη, προτεραιότητα ή τελική άρνηση απέναντι στην οποία θα μπορούσε να κερδίσει ο στενός κανόνας. Κάθε ομάδα που είναι συνδεδεμένη στο instance συνεισφέρει τις δικές της άδειες σε ένα ενιαίο σύνολο, και ο ευρύς κανόνας που ξεχάσατε είναι ακόμα σε αυτό το σύνολο. Το να κάνετε το instance μόνο-VPN σημαίνει έλεγχο όλων τους, όχι προσθήκη ενός κανόνα που ακούγεται καλύτερος σε μία.

Γράψτε την υπηρεσία πριν γράψετε τον κανόνα

Ξεκινήστε με τον ακριβή προορισμό, το πρωτόκολλο και τη θύρα, και τη διεπαφή δικτύου στην οποία ακούει πραγματικά η υπηρεσία. Ένα instance με πολλές διεπαφές ή πολλές υπηρεσίες σε μία θύρα απαιτεί τον έλεγχο ανά διεπαφή, επειδή οι συνδεδεμένες ομάδες μπορεί να διαφέρουν. Στη συνέχεια προσδιορίστε ποια διεύθυνση πηγής λαμβάνει πραγματικά αυτή η διεπαφή για έναν χρήστη VPN, αντί για τη διεύθυνση που εμφανίζει ο πελάτης στο δικό του παράθυρο σύνδεσης.

Αυτές οι δύο διευθύνσεις αποκλίνουν συχνότερα απ' ό,τι περιμένουν οι άνθρωποι μόλις μπουν στη μέση η μετάφραση και η δρομολόγηση.

Τρία μοντέλα πηγής, τρεις διαφορετικοί κανόνες

Με ιδιωτική δρομολογημένη πρόσβαση, το instance λαμβάνει το pool των πελατών ή το εταιρικό εύρος, ανάλογα με το πώς δρομολογείται και μεταφράζεται η διαδρομή. Με δημόσιο endpoint που προσεγγίζεται μέσω εταιρικής εξόδου, το instance βλέπει αντίθετα την εταιρική διεύθυνση NAT, και μόνο αν αυτός ο προορισμός χρησιμοποιεί πραγματικά τη διαδρομή VPN, καθώς το split tunnelling μπορεί να το αφήσει σε οικιακή σύνδεση. Με διαχειριζόμενο endpoint Client VPN, ισχύει το τεκμηριωμένο μοντέλο συσχέτισης και δικτύου προορισμού, και η διεύθυνση του πελάτη προέρχεται από το διαμορφωμένο CIDR πελάτη.

Αυτό που δεν λειτουργεί είναι η αναφορά σε μια πύλη VPN ως πηγή ομάδας ασφαλείας. Οι αναφορές ομάδας αντιστοιχούν σε ελαστικές διεπαφές δικτύου μέσα στο VPC ή σε δικτυωμένο δίκτυο, και μια πύλη που προωθεί πακέτα δεν είναι μία από αυτές.

Διαβάστε την ένωση σε όλες τις συνδεδεμένες ομάδες

Ανοίξτε το instance, βρείτε τη διεπαφή δικτύου του και καταγράψτε κάθε ομάδα ασφαλείας που είναι συνδεδεμένη σε αυτό. Για καθεμία, ελέγξτε κάθε κανόνα που καλύπτει το πρωτόκολλο και τη θύρα σας, συμπεριλαμβανομένων ευρέων εύρων θυρών και των δύο οικογενειών διευθύνσεων. Ένας κανόνας IPv4 από 0.0.0.0/0 δεν σας απαλλάσσει από τον έλεγχο του ::/0, και ένας κανόνας που επιτρέπει όλη την κίνηση κρύβει εντελώς το ζήτημα της θύρας. Μόνο μετά από αυτή την απογραφή μπορείτε να πείτε ποια είναι η πραγματική άδεια για την υπηρεσία.

Η αναφορά κανόνων του AWS περιγράφει τις ομάδες ασφαλείας ως μόνο-επιτρεπτικές και αναφέρει ότι οι κανόνες όλων των συνδεδεμένων ομάδων συγκεντρώνονται, και αυτός είναι όλος ο μηχανισμός πίσω από αυτή την αποτυχία.

Τα ACL δικτύου είναι μια ξεχωριστή πολιτική χωρίς κατάσταση με διατεταγμένες εγγραφές επιτρεπτικές και αρνητικές, και αξιολογούνται στο subnet και όχι στο instance.

Μην απαντήσετε με τείχος άρνησης

Η προσθήκη άρνησης NACL σε όλο το subnet για να μιμηθείτε ένα firewall στο οποίο έχετε συνηθίσει είναι λάθος εργαλείο και επικίνδυνο. Οι εγγραφές NACL είναι διατεταγμένες και χωρίς κατάσταση, οπότε μια άρνηση πάνω από μια υπάρχουσα άδεια σπάει σιωπηλά άσχετη κίνηση, συμπεριλαμβανομένης της διαδρομής επιστροφής για τις συνεδρίες που προσπαθούσατε να κρατήσετε. Διορθώστε την ευρεία άδεια της ομάδας ασφαλείας στην ομάδα που την κατέχει και μετά αφήστε το ACL ήσυχο εκτός αν είναι πραγματικά μέρος του σχεδιασμού.

Η αφαίρεση μιας δημόσιας διεύθυνσης από το instance είναι ισχυρότερη εγγύηση, και είναι επίσης αρχιτεκτονική αλλαγή με διαχειριστικές και εφαρμοστικές συνέπειες, όχι ένα κουτάκι σε μια λίστα επιτρεπόμενων.

Δοκιμάστε με νέα συνεδρία και κρατήστε έναν τρόπο εισόδου

Πριν καταργήσετε οποιαδήποτε υπάρχουσα άδεια, επιβεβαιώστε μια εγκεκριμένη ανεξάρτητη διαχειριστική διαδρομή, γιατί ο κανόνας που πρόκειται να διαγράψετε μπορεί να είναι αυτός από τον οποίο εξαρτάται η ανάκτηση της συνεδρίας σας. Στη συνέχεια δοκιμάστε μια νέα επιτρεπόμενη σύνδεση από το VPN και μια νέα απορριφθείσα σύνδεση από εγκεκριμένη διαδρομή δοκιμής χωρίς VPN. Οι υπάρχουσες παρακολουθούμενες συνεδρίες επιβιώνουν από αλλαγές κανόνων με τρόπους που κάνουν τα παλιά ανοιχτά κελύφη άχρηστα ως αποδεικτικά αποδοχής.

Τέλος, κρατήστε την εξουσιοδότηση της ίδιας της εφαρμογής στη θέση της. Μια μεταφρασμένη εταιρική έξοδος μπορεί να αντιπροσωπεύει εκατοντάδες ανθρώπους, και η είσοδος στο δίκτυο δεν ταυτοποίησε ποτέ έναν μεμονωμένο χρήστη ή τη συσκευή του.