EC2 VPN hutserako araua: erantsitako segurtasun-talde guztiek bat etorri behar dute
Segurtasun-taldeek soilik baimentzen dute, eta erantsitako talde bakoitzak bere baimena gehitzen du. Egiaztatu instantziak benetan zer iturburu ikusten duen VPN arau estua gehitu aurretik.
VPN bezeroen poolerako sarrera-arau bat gehitzen duzu, ezer ez duzu kentzen, eta zerbitzua oraindik internetetik irisgarria da. Ez dago ezer hautsita. Segurtasun-talde batek ez du gainidazterik, lehentasunik ezta azken ukapenik ere, arau estuak irabazi dezakeenik. Instantziari erantsita dagoen talde bakoitzak bere baimenak multzo bateratu bakarrera gehitzen ditu, eta ahaztu duzun arau zabala multzo horretan dago oraindik. Instantzia VPN hutsera pasatzeak denak ikuskatzea esan nahi du, ez talde bati hobeto entzuten duen araua gehitzea.
Idatzi zerbitzua araua idatzi aurretik
Hasi helmuga zehatz, protokolo eta portutik, eta zerbitzuak benetan entzuten duen sare-interfazetik. Interfaze anitz edo portu bakarrean zerbitzu anitz dituen instantzia batek interfaze bakoitzeko ikuskapena behar du, erantsitako taldeak desberdinak izan baitaitezke. Gero zehaztu interfaze horrek VPN erabiltzaile batentzat benetan zein iturburu-helbide jasotzen duen, bezeroak bere konexio-leihoan erakusten duen helbidea erabili ordez.
Bi helbide horiek uste baino gehiagotan dibergitzen dute itzulpena eta bideratzea jokoan sartu ondoren.
Hiru iturburu-eredu, hiru arau desberdin
Sarbide pribatu bideratuarekin, instantziak bezeroen poola edo korporazio-barrutia jasotzen du, bidea nola bideratu eta itzultzen den arabera. Korporazio-irteeraren bidez iristen den amaiera-puntu publikoarekin, instantziak korporazioaren NAT helbidea ikusten du horren ordez, eta soilik helmuga horrek VPN bidea benetan erabiltzen badu, tunel zatituak etxeko konexioan utz baititzake. Kudeatutako Client VPN amaiera-puntuarekin, dokumentatutako elkartze eta helburu-sare eredua aplikatzen da, eta bezeroaren helbidea konfiguratutako bezero CIDR-etik dator.
Funtzionatzen ez duena VPN atebidea segurtasun-talde baten iturburu gisa erreferentziatzea da. Talde-erreferentziek VPC barruko edo parekatutako sareko sare-interfaze elastikoekin bat egiten dute, eta paketeak birbidaltzen dituen atebidea ez da horietako bat.
Irakurri batasuna erantsitako talde guztietan
Ireki instantzia, aurkitu bere sare-interfazea eta zerrendatu hura lotuta dagoen segurtasun-talde guztiak. Bakoitzarentzat, egiaztatu zure protokoloa eta portua estaltzen dituen arau guztiak, portu-barruti zabalak eta bi helbide-familia barne. 0.0.0.0/0 helbidetik datorren IPv4 arauak ez zaitu ::/0 egiaztatzetik salbuesten, eta trafiko guztia baimentzen duen arauak portuaren kontua erabat ezkutatzen du. Inbentario horren ondoren soilik esan dezakezu zein den zerbitzuaren baimen eraginkorra.
AWS arauen erreferentziak segurtasun-taldeak soilik-baimendu gisa deskribatzen ditu eta talde erantsi guztien arauak bateratzen direla adierazten du, eta hori da hutsegite honen atzean dagoen mekanismo osoa.
Sare-ACLak bereiziak eta egoerarik gabeko politikak dira, baimen eta ukapen sarrera ordenatuekin, eta azpisarean ebaluatzen dira, ez instantzian.
Ez erantzun ukapen-horma batekin
Azpisare osorako NACL ukapena gehitzea ohituta zauden suebaki bat imitatzeko tresna okerra da eta arriskutsua. NACL sarrerak ordenatuta daude eta egoerarik gabe, beraz lehendik dagoen baimen baten gainean jarritako ukapen batek isilean apurtzen du lotu gabeko trafikoa, mantendu nahi zenuen sesioen itzulera-bidea barne. Konpondu segurtasun-taldearen baimen zabala hura daukan taldean, eta gero utzi ACLa bakean, benetan diseinuaren parte ez bada.
Instantziatik helbide publiko bat kentzea berme sendoagoa da, eta administrazio- eta aplikazio-ondorioak dituen aldaketa arkitektonikoa ere bada, ez baimen-zerrendako lauki bat.
Probatu sesio berri batekin eta gorde sartzeko bidea
Edozein baimen indargabetu aurretik, berretsi onartutako administrazio-bide independente bat, ezabatzear zauden araua zure sesioaren berreskurapenak behar duen araua izan baitaiteke. Gero probatu VPNtik baimendutako konexio berri bat eta VPN ez den proba-bide baimendu batetik ukatutako konexio berri bat. Lehendik dauden jarraitutako sesioek arau-aldaketak gainditzen dituzte, shell ireki zaharrak onarpen-froga gisa erabilgaitz bihurtuz.
Azkenik, eduki aplikazioaren beraren autorizazioa bere lekuan. Itzulitako korporazio-irteera batek ehunka pertsona ordezkatu ditzake, eta sarerako onarpenak ez zuen inoiz erabiltzaile indibidual bat edo haren gailua identifikatu.