AWS Client VPN-ren arauak baliabidean daude, ez azpisareean

Langileek VPCko aplikazio bat lortu behar dute eta ezin dute instantzia bereko datu-basearen entzulea lortu, beraz norbaitek bigarren azpisare publiko bat gehitzen du VPN endpointarentzat eta baldintza betetzat jotzen du. Azpisarearen kokapenak bideratzea eta erabilgarritasuna aldatzen ditu. Ez du ataka bakarra ere ematen edo ukatzen. Baldintza adierazten duen baimena helmugan bizi da, baliabidearen segurtasun-taldean, eta VPN mugak arau horrek aipatzen duen heldulekua ematen du.

Azpisarearen kokapena bideratzea da, ez autorizazioa

Endpointaren sare-elkartzeak non dagoen erabakitzen du zein bideratze-taulak eramaten duen bezeroen trafikoa eta zein erabilgarritasun-eremuk gainditzen duen matxura. Ez du ezer esaten trafiko horrek zein instantziatako zein atakara irits daitekeen. Azpisare berarekin elkartutako bi bezero iturburu-identitate berarekin iristen dira, eta baliabideak ezin ditu azpisarearen izenaren arabera bereizi.

Hasi baldintzatik, ordea: nork deitzen du, zein baliabide, zein zerbitzu-ataka eta zein norabide. Gero aukeratu lau gauza horiek helmugan adieraz ditzakeen arau-eredua. Ikuspegi horrek azpisare gehigarria erabat kentzen du diseinutik.

Client VPN elkartze-taldea da heldulekua

Azpisareari lotutako AWS Client VPN endpoint baterako, dokumentatutako antolamendua zehatza da. Aplikatu asmo den segurtasun-taldea endpointaren helburuko sare-elkartzeei, eta gero baimendu behar den trafikoa baliabidearen segurtasun-taldean, Client VPN talde hori iturri gisa erabiliz.

Zehazki, aplikazio-instantziaren taldeak elkartze-taldetik aplikazioaren ataka baimentzen du, eta besterik ez. AWS-ren baliabiderako sarbide-prozedurak harreman hori deskribatzen du, eta merezi du talde-politika bera mantentzea endpointak elkartzen duen azpisare bakoitzean, beste talde batekin elkartze zaharkitu batek muga isilpean zabaltzen baitu.

Arau horrek ez du inor autentifikatzen. Saioa hasteko beste kontrol bat da, eta baliabiderako bidea hirugarrena da. Hirurek bete behar dute eskaera bat iritsi aurretik. Zeinek huts egiten duen erabakitzen du zein konponketa den zuzena, eta araua aldatzea lehenengoarentzat baino ez da erantzun egokia.

Elkartze-talde bakar batek bereizi ezin duena

Elkartze-talde beraren atzeko bezero guztiak baliabidera segurtasun-talde iturburu berdin gisa iristen dira. Rol desberdineko bi erabiltzaile bereizezinak dira geruza horretan, taldea nola izendatu edo etiketatu den ere. Client VPNen kanpo-taldeen autorizazioak helmuga-prefixaren arabera mugatzen du sarbidea direktorio edo SAML talde baterako, baliabide-rola baino zakarragoa dena eta sare-muga gisa tratatu behar dena, identitate-sistema gisa ez.

Bereizketa finagoak aplikazioarenak dira. Gehien langileentzat itxita egon behar duen datu-base-entzule bat hobeto babesten da baimendutako prefixoan batere erabilgarri ez egonez, taldeko kide izaten jarraituko duela espero baino.

Taldea berrizendatzeak ez du identitaterik sortzen, eta talde bakoitzeko bikoizteak auditatzeko elkartzeak baino ez ditu biderkatzen.

Ez kopiatu arau hori VPN diseinu guztietara

Auto-kudeatutako EC2 VPN ateak, bideratutako ikuskapen-gailuak eta kudeatutako Client VPNek hiru pakete-bide desberdin dira. Zehaztu zein iturburu-helbide iristen den benetan baliabidera, bidean itzulpenik egiten den eta zerbitzuak bide horretan zein erreferentzia-mekanismo onartzen dituen.

Trafikoa bitarteko gailu batetik pasatzeak ez du iturburu-segurtasun-taldearen erreferentzia gordetzen instantzia arteko trafiko zuzenak bezala. AWSk dokumentatzen du diseinu horiek iturburuko helbide pribatu edo CIDR egokiak behar izan ditzaketela talde-erreferentziaren ordez. Kudeatutako Client VPNen prozedurak ez du frogatzen ate bakoitzari atxikitako taldeak aurrera eramandako paketeentzat identitate-token unibertsal gisa funtzionatzen duenik.

Bidean NAT jauzi bat nahikoa da suposizioa hausteko, eta hutsegiteak badagoen baina inoiz bat ez datorren arau baten itxura du.

Berrikusi muga eraginkorra

Irakurri baliabideari atxikitako segurtasun-talde guztiak, baimen-arauak batzen baitira eta arau estuek beste talde bateko zabalagoa ez baitu deuseztatzen. Gero egiaztatu sareko ACL, ostalariaren suebakia eta aplikazioaren beraren autorizazioa, akats desberdineko geruza desberdinak direnak.

Amaitu baimendutako eskaera batekin eta nahita baztertutako beste batekin baliabide beraren aurka. Bikoteak muga frogatzen du, konexio arrakastatsu bakar batek zerbait irekita dagoela baino ez baitu frogatzen. Egiaztatu bidea, iturburu eraginkorra eta asmo den zerbitzu-ataka, endpointa duen azpisarea baino.

Lan-ordena: idatzi lau zatiko baldintza, atxiki taldea elkartzeei, mugatu baliabidearen araua atakara, egiaztatu baimen bat eta uko bat, eta gero soilik aztertu azpisareak bideratze-arrazoiengatik banatzea.