AWS Client VPN reeglid kuuluvad ressursi, mitte alamvõrgu juurde

Töötajad peavad pääsema VPC-s ühele rakendusele ega tohi pääseda samas instansis olevale andmebaasi kuulajale, seega lisab keegi VPN-i lõpp-punkti jaoks teise avaliku alamvõrgu ja loeb nõude täidetuks. Alamvõrgu asukoht muudab marsruutimist ja kättesaadavust. See ei anna ega võta ühtegi porti. Nõuet väljendav luba elab sihtkohas, ressursi turvagrupis, ja VPN-i piir annab käepideme, millele see reegel viitab.

Alamvõrgu asukoht on marsruutimine, mitte autoriseerimine

See, kus asub lõpp-punkti võrguseos, otsustab, milline marsruutimistabel kannab kliendiliiklust ja millised kättesaadavustsoonid vea üle elavad. See ei ütle midagi selle kohta, millisele pordile millises instansis see liiklus jõuda võib. Kaks sama alamvõrguga seotud klienti saabuvad ikkagi sama allika identiteediga ja ressurss ei suuda neid alamvõrgu nime järgi eristada.

Alustage hoopis nõudest: kes helistab, milline ressurss, milline teenuseport ja milline suund. Seejärel valige reeglimudel, mis suudab need neli asja sihtkohas väljendada. Selline raamistamine eemaldab tavaliselt lisaalamvõrgu kavandist täielikult.

Client VPN-i seostegrupp on see käepide

Alamvõrguga seotud AWS Client VPN-i lõpp-punkti puhul on dokumenteeritud korraldus konkreetne. Rakendage kavandatud turvagrupp lõpp-punkti sihtvõrgu seostele, seejärel lubage vajalik liiklus ressursi turvagrupis, kasutades allikana seda Client VPN-i gruppi.

Konkreetselt lubab rakenduse instansi grupp rakenduse porti seostegrupist ja mitte midagi muud. AWS-i ressursile juurdepääsu protseduur kirjeldab seda seost ja tasub hoida sama grupipoliitikat igas alamvõrgus, millega lõpp-punkt seostub, sest erineva grupiga aegunud seos avardab piiri vaikselt.

See reegel ei autenti kedagi. Sisselogimine on eraldi kontroll ja tee ressursini on kolmas. Kõik kolm peavad kehtima enne, kui päring saabub. Milline neist ebaõnnestub, määrab, milline parandus on õige, ja reegli muutmine on õige vastus ainult esimese puhul.

Mida üks seostegrupp eristada ei suuda

Iga klient sama seostegrupi taga jõuab ressursini sama turvagrupi allikana. Kaks erineva rolliga kasutajat on selles kihis eristamatud, ükskõik kuidas gruppi nimetatakse või märgistatakse. Client VPN-i välisgruppide autoriseerimine piirab juurdepääsu sihtprefiksi järgi kataloogi- või SAML-grupi jaoks, mis on jämedam kui ressursi roll ja mida tuleks käsitleda võrgu piirina, mitte identiteedisüsteemina.

Peenemad eristused kuuluvad rakendusele. Andmebaasi kuulaja, mis peab jääma enamikule töötajatele suletuks, on paremini kaitstud nii, et see pole lubatud prefiksil üldse kättesaadav, kui lootes, et grupiliikmelisus jääb korrektsaks.

Grupile ümbernimetamine ei loo identiteeti ja selle meeskonniti dubleerimine ainult korrutab seoseid, mida tuleb auditeerida.

Ärge kopeerige seda reeglit igasse VPN-i kavandisse

Isehaldatav EC2 VPN-i lüüs, marsruuditud kontrollseade ja hallatav Client VPN on kolm erinevat paketiteed. Tehke kindlaks, milline allikaaadress tegelikult ressursini jõuab, kas teel toimub tõlkimine ja milliseid viitemehhanisme teenus sellel teel toetab.

Liikluse suunamine vahehõlmu kaudu ei säilita allika turvagrupi viidet nii, nagu seda teeb otsene instansist instanssi liiklus. AWS dokumenteerib, et sellised kavandid võivad grupi viite asemel vajada sobivaid privaatseid allikaaadresse või CIDR-e. Hallatava Client VPN-i protseduur ei ole tõestus, et iga lüüsi külge kinnitatud grupp toimib edastatud pakettide jaoks universaalse identiteedimärgina.

Ühest NAT-hüppest teel piisab eelduse murdmiseks ja rike näeb välja nagu reegel, mis on olemas, aga ei sobi kunagi.

Vaadake üle tegelik piir

Lugege iga ressursi külge kinnitatud turvagruppi, sest lubamisreeglid liituvad ja kitsas reegel ei tühista teises grupis olevat laiemat. Seejärel kontrollige võrgu ACL-i, hosti tulemüüri ja rakenduse enda autoriseerimist, mis on eraldi kihid eraldi vigadega.

Lõpetage ühe lubatud ja ühe teadlikult välistatud päringuga sama ressursi vastu. See paar tõestab piiri, samas kui üks õnnestunud ühendus tõestab ainult, et midagi on avatud. Kinnitage marsruut, tegelik allikas ja kavandatud teenuseport, mitte alamvõrk, mis lõpp-punkti sisaldab.

Töö järjekord: kirjutage neljaosaline nõue, kinnitage grupp seoste külge, piirake ressursi reegel porti, kontrollige üht luba ja üht keeldu ning alles seejärel kaaluge alamvõrkude jagamist marsruutimise põhjustel.