Pilve turvagrupp VPN-i jaoks: ava kuulaja, mitte kõik

VPN-i server töötab, klient läheb aeguma ja esimene impulss on lisada turvagrupile reegel, mis lubab kõike. Mõnikord see paneb selle tööle ja see on halvim tulemus, sest nüüd ei tea keegi, milline piir tegelikult suleti. Kliendi ja deemonite vahel on neli eraldi filtrit ja ainult üks neist on turvagrupp.

Nimeta protokoll enne reeglit

Reegel on protokoll, portide vahemik ja allikas. WireGuard kuulab UDP-l, tavaliselt 51820. OpenVPN on tavaliselt UDP või TCP 1194, sõltuvalt seadistusest. IPsec vajab IKE vahetust UDP 500 ja 4500 peal ning lisaks ESP protokolli ennast, mis on protokolli number, mitte port. TCP oletamine sellepärast, et teised reeglid on TCP, viib reeglini, mis näeb õige välja ja ei sobi millegagi.

Loe kuulajat töötavast teenusest, mitte õpetusest. Ühele aadressile seotud deemon ei võta vastu teisele aadressile saabuvat liiklust.

Piira allikas kliendivahemikuga, mille disain lubab, mitte kogu internetiga.

Turvagrupid on olekupõhised; alavõrgu ACL-id ei ole

Turvagrupid on olekupõhised ja ainult lubavad: lubatud sissetulev voog saab vastused automaatselt ja keeldumisreeglit, mille üle mõelda, ei ole. Alavõrgu ACL-id on olekuta ja neid hinnatakse mõlemas suunas, seega sissetulev luba ilma vastava väljuva efemeerse vahemikuta ikka ebaõnnestub. See erinevus seletab paljusid reegleid, mis konsoolis õiged näivad.

Kinnita ka, milline poliitika on töötava lõpp-punkti külge kinnitatud, sest instantsil võib olla rohkem kui üks grupp ja kinnitamata grupi reegel ei muuda midagi.

Tõhus poliitika on kinnitatu ühend, mitte fail, mida muutsid.

Hosti tulemüür on eraldi piir

Pilvepoliitika laseb liikluse võrguliideseni ja seejärel otsustab operatsioonisüsteem, kas deemon seda näeb. Hosti tulemüür vaikimisi keelava poliitikaga viskab kõrvale paketi, mille turvagrupp lubas, ja pilvekonsool ei näita ühtegi keeldumist, sest sellel ei olnud kunagi arvamust. Kontrolli mõlemat selles järjekorras, milles pakett neile vastu tuleb.

Kui host kasutab distributsiooni tulemüüri esiotsa, kinnita aluseks olevad reeglid, mitte profiili nimi, sest profiil võib olla aktiivne, samal ajal kui port on suletud.

Püük liidesel ütleb sulle, milline piir paketi kõrvale viskas.

Kuulaja lubamine ei ole klientide marsruutimine

VPN-i lüüs, mis edastab kliendiliiklust, vajab enamat kui avatud porti. See vajab IP-edastust, poliitikat, mis lubab voogu tunneliliidesest sihtvõrku, ja sageli liidesel välja lülitatud allika-sihtkoha kontrolli, et platvorm ei viskaks kõrvale liiklust, mis ei ole talle adresseeritud. Midagi sellest ei loo kuulaja reegel.

Siin lähevad lahku toimiv kätlus ja katkine andmetee, ja seepärast võib tunneli olek tunduda terve, samal ajal kui miski ei laadi.

Paranda marsruutimine eraldi muudatusena oma kontrolliga ja pane tähele, et edastav lüüs vajab ka väljundpoliitikat, mis sihtkohta lubab.

Jäta tagasitee lahti ja seejärel kitsenda reeglit

Enne kaugtulemüüri poliitika muutmist kinnita, et on olemas sõltumatu haldustee, näiteks seansihaldur, jadakonsole või välisvõrk. Kui ainus haldustee kulgeb läbi reegli, mida muudad, ei ole sul taastamist. Seejärel rakenda kitsas reegel, testi tegeliku kliendiga ja seo katse serveripoolsete tõenditega. Vastus teiselt teenuselt samas masinas ei ole tõestus, et kuulaja sai kätte.

Eemalda igasugune eksperimentaalne lai luba niipea, kui kitsas töötab, ja pane kirja, miks reegel olemas on. AWS dokumenteerib turvagruppide olekupõhise käitumise, ja just seda dokumenti tuleb tsiteerida, kui keegi pakub laia vahemikku lühiühendusena.

Dokumenteeri ka kinnitamine, muidu kaotab asendusliides poliitika vaikselt.