EC2 reegel ainult VPN-ile: iga külge kinnitatud turbegrupp peab nõustuma

Lisate VPN-kliendi poolile ühe sissetuleva reegli, ei eemalda midagi ja teenus on endiselt internetist kättesaadav. Miski pole katki. Turbegrupil pole ülekirjutust, prioriteeti ega lõplikku keeldumist, mille vastu kitsas reegel võiks võita. Iga eksemplariga seotud grupp panustab oma lubad ühte ühendatud hulka ja lai reegel, mille unustasite, on selles hulgas endiselt. Eksemplari ainult-VPN-iks muutmine tähendab kõigi auditeerimist, mitte ühele paremini kõlava reegli lisamist.

Kirjutage teenus üles enne, kui kirjutate reegli

Alustage täpsest sihtkohast, protokollist ja pordist ning võrguliidesest, millel teenus tegelikult kuulab. Mitme liidese või ühel pordil mitme teenusega eksemplari puhul tuleb audit teha iga liidese kohta, sest külge kinnitatud grupid võivad erineda. Seejärel tehke kindlaks millise lähteaadressi see liides VPN-kasutaja jaoks tegelikult saab, mitte aadressi, mida klient kuvab oma ühendusaknas.

Need kaks aadressi lahknevad sagedamini, kui inimesed ootavad, kui tõlge ja marsruutimine mängu tulevad.

Kolm lähteallika mudelit, kolm erinevat reeglit

Privaatse marsruuditud juurdepääsu korral saab eksemplar kliendi poole või ettevõtte vahemiku, olenevalt sellest, kuidas tee on marsruuditud ja tõlgitud. Ettevõtte väljapääsu kaudu jõutava avaliku lõpp-punkti korral näeb eksemplar selle asemel ettevõtte NAT-aadressi ja seda ainult siis, kui see sihtkoht tegelikult VPN-teed kasutab, sest jaotatud tunnelimine võib jätta selle koduuhendusele. Hallatava Client VPN-i lõpp-punkti korral kehtib dokumenteeritud seostamise ja sihtvõrgu mudel ning kliendi aadress pärineb konfigureeritud kliendi CIDR-ist.

Mis ei tööta, on VPN-lüüsi viitamine turbegrupi allikana. Grupiviited vastavad elastsetele võrguliidestele VPC sees või peer-võrgus ning pakette edastav lüüs ei ole üks neist.

Lugege ühendust kõigi külge kinnitatud gruppide lõikes

Avage eksemplar, leidke selle võrguliides ja loetlege kõik sellega seotud turbegrupid. Igaühe puhul kontrollige iga reeglit, mis katab teie protokolli ja pordi, sealhulgas laiad pordivahemikud ja mõlemad aadressiperekonnad. IPv4 reegel aadressilt 0.0.0.0/0 ei vabasta teid ::/0 kontrollimisest ja kogu liiklust lubav reegel varjab pordiküsimuse täielikult. Alles pärast seda loendit saate öelda, milline on teenuse tegelik luba.

AWS-i reeglite viide kirjeldab turbegruppe ainult-lubavatena ja märgib, et kõigi külge kinnitatud gruppide reeglid liidetakse, mis on kogu selle rikke taga olev mehhanism.

Võrgu ACL-id on eraldi olekuta poliitika, millel on järjestatud lubamis- ja keelamiskirjed, ning neid hinnatakse alamvõrgul, mitte eksemplaril.

Ärge vastake keeldumiste müüriga

Alamvõrguülene NACL-keeld, mis jäljendab harjumuspärast tulemüüri, on vale tööriist ja riskantne. NACL-i kirjed on järjestatud ja olekuta, seega olemasoleva loa kohale pandud keeld katkestab vaikselt mitteseotud liikluse, sealhulgas tagasitee nende sessioonide jaoks, mida püüdsite hoida. Parandage lai turbegrupi luba grupis, mis seda omab, ja jätke ACL siis rahule, kui see pole tõesti disaini osa.

Avaliku aadressi eemaldamine eksemplarilt on tugevam garantii ja see on ka arhitektuurimuudatus, millel on haldus- ja rakenduslikud tagajärjed, mitte märkeruut lubade loendis.

Testige uue sessiooniga ja jätke endale sissepääs

Enne mis tahes olemasoleva loa tühistamist kinnitage heakskiidetud sõltumatu haldustee, sest reegel, mille kavatsete kustutada, võib olla see, millest sõltub teie sessiooni taastamine. Seejärel testige uut lubatud ühendust VPN-ist ja uut keelatud ühendust volitatud VPN-väliselt testteelt. Olemasolevad jälitatavad sessioonid elavad reeglimuudatused üle viisil, mis muudab vanad avatud shellid vastuvõtutõendina kasutuks.

Lõpuks hoidke rakenduse enda autoriseerimine paigas. Tõlgitud ettevõtte väljapääs võib esindada sadu inimesi ja võrku pääsemine ei ole kunagi tuvastanud üksikut kasutajat ega tema seadet.