EC2-sääntö vain VPN:lle: jokaisen liitetyn tietoturvaryhmän on oltava samaa mieltä

Lisäät yhden saapuvan säännön VPN-asiakaspoolille, et poista mitään, ja palvelu on edelleen saavutettavissa internetistä. Mikään ei ole rikki. Tietoturvaryhmässä ei ole ohitusta, prioriteettia tai lopullista hylkäystä, jota vastaan kapea sääntö voisi voittaa. Jokainen instanssiin liitetty ryhmä tuo omat sallintansa yhteen yhdistettyyn joukkoon, ja unohtamasi laaja sääntö on yhä siinä joukossa. Instanssin muuttaminen vain-VPN:ksi tarkoittaa kaikkien auditoimista, ei paremmalta kuulostavan säännön lisäämistä yhdelle.

Kirjoita palvelu muistiin ennen säännön kirjoittamista

Aloita tarkasta kohteesta, protokollasta ja portista sekä verkkoliittymästä, jolla palvelu todella kuuntelee. Instanssi, jossa on useita liittymiä tai useita palveluita yhdellä portilla, vaatii auditoinnin liitäntäkohtaisesti, koska liitetyt ryhmät voivat poiketa toisistaan. Määritä sitten minkä lähdeosoitteen kyseinen liitäntä todella vastaanottaa VPN-käyttäjälle, eikä sitä osoitetta, jonka asiakasohjelma näyttää omassa yhteysikkunassaan.

Nämä kaksi osoitetta eroavat toisistaan useammin kuin ihmiset odottavat, kun käännös ja reititys tulevat mukaan.

Kolme lähdemallia, kolme erilaista sääntöä

Yksityisessä reititetyssä käytössä instanssi vastaanottaa asiakaspoolin tai yrityksen alueen sen mukaan, miten polku reititetään ja käännetään. Yrityksen ulostulon kautta saavutettavassa julkisessa päätepisteessä instanssi näkee sen sijaan yrityksen NAT-osoitteen, ja vain jos kyseinen kohde todella käyttää VPN-polkua, koska jaettu tunnelointi voi jättää sen kotiyhteyteen. Hallinnoidussa Client VPN -päätepisteessä sovelletaan dokumentoitua liitoksen ja kohdeverkon mallia, ja asiakkaan osoite tulee määritetystä asiakkaan CIDR:stä.

Se, mikä ei toimi, on VPN-yhdyskäytävän viittaaminen tietoturvaryhmän lähteeksi. Ryhmäviittaukset vastaavat joustavia verkkoliittymiä VPC:n tai vertaisverkon sisällä, eikä paketteja välittävä yhdyskäytävä ole yksi niistä.

Lue yhdistelmä kaikkien liitettyjen ryhmien yli

Avaa instanssi, etsi sen verkkoliitäntä ja luettele jokainen siihen liitetty tietoturvaryhmä. Tarkista jokaisesta jokainen sääntö, joka kattaa protokollasi ja porttisi, mukaan lukien laajat porttialueet ja molemmat osoiteperheet. IPv4-sääntö osoitteesta 0.0.0.0/0 ei vapauta sinua tarkistamasta ::/0:aa, ja kaiken liikenteen salliva sääntö kätkee porttikysymyksen kokonaan. Vasta tämän luettelon jälkeen voit sanoa, mikä palvelun tehollinen käyttöoikeus on.

AWS:n sääntöviite kuvaa tietoturvaryhmät vain-salliviksi ja toteaa, että kaikkien liitettyjen ryhmien säännöt yhdistetään, ja se on koko tämän epäonnistumisen takana oleva mekanismi.

Verkon ACL:t ovat erillinen tilaton käytäntö, jossa on järjestetyt sallinta- ja hylkäysmerkinnät, ja ne arvioidaan aliverkossa eikä instanssissa.

Älä vastaa hylkäysmuurilla

Aliverkon laajuisen NACL-hylkäyksen lisääminen tuttua palomuuria jäljitelläksesi on väärä työkalu ja riskialtis. NACL-merkinnät ovat järjestettyjä ja tilattomia, joten olemassa olevan sallinnan yläpuolelle sijoitettu hylkäys rikkoo hiljaa liittymättömän liikenteen, mukaan lukien paluupolun niille istunnoille, joita yritit pitää. Korjaa laaja tietoturvaryhmän sallinta siinä ryhmässä, joka sen omistaa, ja jätä ACL sitten rauhaan, ellei se todella ole osa suunnittelua.

Julkisen osoitteen poistaminen instanssista on vahvempi tae, ja se on myös arkkitehtuurimuutos, jolla on hallinnollisia ja sovelluskohtaisia seurauksia, ei valintaruutu sallintaluettelossa.

Testaa uudella istunnolla ja pidä reitti sisään

Ennen kuin poistat minkä tahansa olemassa olevan sallinnan, varmista hyväksytty riippumaton hallintareitti, koska sääntö, jonka aiot poistaa, voi olla se, josta istuntosi palautuminen riippuu. Testaa sitten uusi sallittu yhteys VPN:stä ja uusi hylätty yhteys hyväksytystä ei-VPN-testireitistä. Olemassa olevat seuratut istunnot selviävät sääntömuutoksista tavoilla, jotka tekevät vanhoista avoimista kuorista hyödyttömiä hyväksymistodisteena.

Pidä lopuksi sovelluksen oma valtuutus paikallaan. Käännetty yrityksen ulostulo voi edustaa satoja ihmisiä, eikä verkon sisäänpääsy ole koskaan tunnistanut yksittäistä käyttäjää tai tämän laitetta.