Reguloj de AWS Client VPN apartenas al la rimedo, ne al la subreto

La personaro devas atingi unu aplikaĵon en la VPC kaj ne devas atingi la datumbazan aŭskultanton sur la sama instanco, do iu aldonas duan publikan subreton por la finpunkto de VPN kaj deklaras la postulon plenumita. La loko de la subreto ŝanĝas enkursigon kaj haveblecon. Ĝi nek donas nek rifuzas eĉ unu pordon. La permeso, kiu esprimas la postulon, loĝas ĉe la celo, en la sekureca grupo de la rimedo, kaj la limo de VPN provizas la tenilon al kiu tiu regulo referencas.

La loko de la subreto estas enkursigo, ne rajtigo

Kie troviĝas la reta asociigo de la finpunkto decidas, kiu enkursiga tabelo portas la klientan trafikon kaj kiuj haveblaj zonoj postvivos paneon. Ĝi diras nenion pri tio, kiun pordon sur kiu instanco tiu trafiko povas atingi. Du klientoj asociitaj kun la sama subreto ankoraŭ alvenas kun la sama fonta identeco, kaj la rimedo ne povas distingi ilin per la nomo de la subreto.

Komencu anstataŭe de la postulo: kiu vokas, kiu rimedo, kiu serva pordo kaj kiu direkto. Poste elektu la regulmodelon, kiu povas esprimi tiujn kvar aferojn ĉe la celo. Tiu kadro kutime forigas la kroman subreton tute el la dezajno.

La asociiga grupo de Client VPN estas la tenilo

Por subrete asociita finpunkto de AWS Client VPN, la dokumentita aranĝo estas konkreta. Apliku la celitan sekurecan grupon al la celretaj asociigoj de la finpunkto, poste permesu la bezonatan trafikon en la sekureca grupo de la rimedo uzante tiun grupon de Client VPN kiel fonton.

Konkrete, la grupo de la aplika instanco permesas la aplikan pordon el la asociiga grupo kaj nenion alian. La proceduro pri aliro al rimedo de AWS priskribas tiun rilaton, kaj indas konservi la saman grupan politikon en ĉiu subreto kun kiu la finpunkto asociiĝas, ĉar malaktuala asociigo kun alia grupo silente larĝigas la limon.

Tiu regulo aŭtentikigas neniun. Saluto estas aparta kontrolo, kaj la vojo al la rimedo estas tria. Ĉiuj tri devas validi antaŭ ol peto alvenas. Kiu ajn malsukcesas decidas, kiu korekto estas ĝusta, kaj ŝanĝo de regulo estas la ĝusta respondo nur por la unua.

Kion unu asociiga grupo ne povas distingi

Ĉiu kliento malantaŭ la sama asociiga grupo atingas la rimedon kiel la sama fonto de sekureca grupo. Du uzantoj kun malsamaj roloj estas nedistingeblaj en tiu tavolo, kiel ajn la grupo nomiĝas aŭ etikediĝas. La rajtigo de eksteraj grupoj en Client VPN limigas aliron laŭ cela prefikso por grupo de adresaro aŭ SAML, kio estas pli malglata ol rolo de rimedo kaj devas esti traktata kiel reta limo, ne kiel identeca sistemo.

Pli fajnaj distingoj apartenas al la aplikaĵo. Datumbaza aŭskultanto, kiu devas resti fermita por la plej multaj dungitoj, estas pli bone protektata per tio, ke ĝi tute ne estas atingebla sur la permesita prefikso, ol per espero, ke la grupa membreco restos ordema.

Renomado de la grupo ne kreas identecon, kaj duobligi ĝin por ĉiu teamo nur multobligas la asociigojn auditendajn.

Ne kopiu tiun regulon en ĉiun VPN-dezajnon

Memadministrata EC2 VPN-enirejo, enkursigita inspekta aparato kaj administrata Client VPN estas tri malsamaj pako-vojoj. Konstatu, kiu fonta adreso fakte atingas la rimedon, ĉu traduko okazas intere kaj kiujn referencajn mekanismojn la servo subtenas sur tiu vojo.

Plusendi trafikon tra mezaparato ne konservas fontan sekurecgrupan referencon tiel, kiel faras rekta instanco-al-instanca trafiko. AWS dokumentas, ke tiaj dezajnoj eble bezonas la taŭgajn privatajn fontajn adresojn aŭ CIDR-ojn anstataŭ grupa referenco. La proceduro de administrata Client VPN ne estas pruvo, ke la alligita grupo de ĉiu enirejo funkcias kiel universala identeca ĵetono por plusenditaj pakoj.

Unu NAT-salto sur la vojo sufiĉas por rompi la supozon, kaj la paneo aspektas kiel regulo, kiu ekzistas sed neniam kongruas.

Revizu la efektivan limon

Legu ĉiun sekurecan grupon alligitan al la rimedo, ĉar permesaj reguloj kombiniĝas kaj mallarĝa regulo ne nuligas pli larĝan en alia grupo. Poste kontrolu la retan ACL, la gastigan fajroŝirmilon kaj la propran rajtigon de la aplikaĵo, kiuj estas apartaj tavoloj kun apartaj eraroj.

Finu per unu permesita kaj unu intence ekskludita peto al la sama rimedo. La paro pruvas la limon, dum unu sukcesa konekto pruvas nur, ke io estas malfermita. Konfirmu la vojon, la efektivan fonton kaj la celitan servan pordon anstataŭ la subreton, kiu enhavas la finpunkton.

Laborordo: skribu la kvarpartan postulon, alligu la grupon al la asociigoj, limigu la regulon de la rimedo al la pordo, kontrolu unu permeson kaj unu rifuzon, kaj nur poste pripensu dividi subretojn pro enkursigaj kialoj.