VPN-pordo markita de komparnormo? Kontrolu la amplekson de la kontrolo

Via skanilo markas la VPN-pordon, la bileto parafrazas tion kiel publika aŭskultanto, kaj la sekva debato temas pri tio, ĉu la elmeto estas reala. La trovo malofte diras tion, kion la leganto supozas. Ĝi citas komparnorman kontrolon kun fiksa amplekso, kaj la pordnumero estas nur unu enigo en tiun amplekson.

Legu la kontrolon antaŭ ol defendi la pordon. Trovo, kiu legiĝas kiel verdikto, estas kutime predikato aplikita al unu rimedo.

Kion la trova vico efektive citas

Ĉiu komparnorma trovo portas kvar aferojn indajn apartigi: la dokumenton kaj revizion, el kiuj ĝi venas, la rimedon, kiu estis taksita, la predikaton, kiu ekigis la rezulton, kaj la kovradon, kiun la revizio efektive atingis. Teamoj kutime citas nur la rimedon — sekurecan grupon aŭ retan ACL aŭ gastiganton — kaj poste diskutas pri la pordo. La predikato decidas, ĉu via aŭskultanto entute estis en la amplekso. Sen ĝi vi debatas pri nombro anstataŭ regulo.

La dokumentaro de Amazon Security Hub tenas tiun apartigon videbla sen pagmura PDF:la paĝo de EC2-kontroloj listigas kontrolojn de sekurecaj grupoj por senlima aliro al pordoj 22 kaj 3389, kaj traktas retajn ACL-ojn kiel alian rimedon kun propraj kondiĉoj. Samaj administraj pordoj, alia objekto, alia testo. Tio estas la detaleco, kiun trovo heredas.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Apartigu la publikan aŭskultanton de administra aliro

VPN-aŭskultanto, kiu akceptas UDP 1194 el la interreto, kaj SSH-servo atingebla nur post eniro, estas malsamaj elmetaj vojoj. La kontrolo, kiu kovras la unuan, eble diras nenion pri la dua, kaj la kontrolo, kiu kovras la duan, eble ignoras la unuan. Sukcesa rezulto ĉe unu ne estas aserto pri la alia, kiom ajn similaj la du sonas en statusa kunveno.

Traktu ĉiun vojon kiel sian propran vicon en la revizio.

Poste kontrolu, kion la enirejo mem rajtigas. Akcepti tunelon ne samas kiel doni administrajn rajtojn sur la enirejo, kaj nek unu nek la alia egalas atingi servilon malantaŭ ĝi. Dividu la demandon en kiu povas konektiĝi, kiu povas administri, kaj kion la tunelo povas atingi. Tiuj tri respondoj venas el malsamaj sistemoj kaj rutine kunfandiĝas en unu frazon, pri kiu neniu povas agi.

La rimedo decidas, ĉu la pordo entute estas en la amplekso

Regulo de sekureca grupo, ero de subreta ACL kaj regulo de gastiganta fajroŝirmilo ĉiuj povas permesi trafikon, tamen nur unu el ili eble estas la objekto, kiun la kontrolo taksas. Efika permeso signifas kombini paralelajn grupojn, ambaŭ adresajn familiojn kaj ajnan malpermesan regulon antaŭ ili. Pordo, kiu malsukcesas grupnivelan kontrolon, povas ankoraŭ esti neatingebla, kaj pordo, kiu trapasas ĝin, povas ankoraŭ esti blokita pli profunde.

Ĉi tie misfunkcias la transplantado de reguloj el alia medio. Retaj ACL-oj estas senstataj kaj taksataj laŭvice; sekurecaj grupoj estas statohavaj kaj nur permesas. Regula modelo prunteprenita el unu ne priskribas la alian, kaj traduki ĝin produktas memfidan respondon pri la malĝusta objekto.

Registru la decidon, por ke la sekva revizio reuzu ĝin

Kiam la amplekso estas vere ambigua, skribu la revizion de la kontrolo, la identigilon de la rimedo, la predikaton kiel citite, kaj la pruvon, kiu solvis ĝin. Inkluzivu, kion vi ekskludis kaj kial. Tiu registro ebligas al dua revizianto atingi la saman konkludon sen relegi la tutan komparnormon, kaj ĝi estas la sola afero, kiu postvivas personŝanĝojn.

Noto diranta «VPN-pordo reviziita» garantias, ke la debato revenos venontan kvaronjaron. Anstataŭe nomu la taksanton, la revizion kaj la pruvon.