AWS Client VPN-regels hearre by de boarne, net by it subnet

Meiwurkers moatte ien applikaasje yn 'e VPC berikke en meie de databanklústerder op deselde ynstânsje net berikke, dus immen foeget in twadde iepenbier subnet ta foar it VPN-einpunt en neamt de eask foldien. De lizzing fan it subnet feroaret routing en beskikberens. It jout of ûnthâldt gjin inkele poarte. De tastimming dy't de eask útdrukket wennet by de bestimming, yn 'e befeiligingsgroep fan 'e boarne, en de VPN-grins leveret it hânfet dêr't dy regel nei ferwiist.

De lizzing fan it subnet is routing, gjin autorisaasje

Wêr't de netwurkkeppeling fan it einpunt sit, beslút hokker rûtetabel it ferkear fan klanten draacht en hokker beskikberenssônes in stoaring oerlibje. It seit neat oer hokker poarte op hokker ynstânsje dat ferkear berikke mei. Twa klanten keppele oan itselde subnet komme noch altyd mei deselde boarne-identiteit, en de boarne kin se net op subnetnamme ûnderskiede.

Begjin ynstee by de eask: wa't skillet, hokker boarne, hokker tsjinstpoarte en hokker rjochting. Kies dan it regelmodel dat dy fjouwer dingen by de bestimming útdrukke kin. Dy oanpak ferwideret it ekstra subnet meastentiids hielendal út it ûntwerp.

De Client VPN-keppelingsgroep is it hânfet

Foar in oan subnet keppele AWS Client VPN-einpunt is de dokumintearre regeling konkreet. Pas de bedoelde befeiligingsgroep ta op 'e netwurkkeppelingen fan it doelnettwurk fan it einpunt, en stean dan it nedige ferkear ta yn 'e befeiligingsgroep fan 'e boarne mei dy Client VPN-groep as boarne.

Konkreet stiet de groep fan 'e applikaasje-ynstânsje de applikaasjepoarte fan 'e keppelingsgroep ta, en neat oars. De proseduere foar tagong ta de boarne fan AWS beskriuwt dy relaasje, en it is de muoite wurdich deselde groepsbelied te hâlden op elk subnet dêr't it einpunt oan keppele is, want in ferâldere keppeling mei in oare groep ferbreedet de grins stil.

Dy regel ferifisearret nimmen. Oanmelde is in aparte kontrôle, en de rûte nei de boarne is in tredde. Alle trije moatte jilde foardat in fersyk oankomt. Hokker ek mislearret, beslist hokker ferbettering goed is, en in regelwiziging is allinnich foar de earste it goede antwurd.

Wat ien keppelingsgroep net ûnderskiede kin

Elke klant efter deselde keppelingsgroep berikt de boarne as deselde befeiligingsgroepboarne. Twa brûkers mei ferskillende rollen binne op dy laach net te ûnderskieden, hoe't de groep ek neamd of labels is. De autorisaasje fan eksterne groepen by Client VPN beheint tagong op bestimmingsprefiks foar in map- of SAML-groep, wat grutter is as in boarnerol en as netwurkgrins behannele wurde moat, net as identiteitssysteem.

Fynere ûnderskieden hearre by de applikaasje. In databanklústerder dy't foar de measte meiwurkers ticht bliuwe moat, is better beskerme troch hielendal net berikber te wêzen op it tastiene prefiks as troch te hoopjen dat it lidmaatskip fan 'e groep kreas bliuwt.

It omneamen fan 'e groep makket gjin identiteit, en it duplisearjen per team fermannichfâldiget allinnich de keppelingen dy't auditeare moatte.

Kopiearje dy regel net nei elk VPN-ûntwerp

In selsbeheard EC2 VPN-gateway, in rûteare ynspeksje-apparaat en beheard Client VPN binne trije ferskillende pakketpaden. Stel fêst hokker boarneadres de boarne echt berikt, oft der oersetting yn 't midden bart en hokker referinsjemechanismen de tsjinst op dat paad stipet.

Ferkear troch in tuskenapparaat stjoere hâldt in befeiligingsgroepreferinsje fan 'e boarne net sa as direkte ynstânsje-nei-ynstânsje-ferkear docht. AWS dokumintearret dat sokke ûntwerpen miskien de passende partikuliere boarneadressen of CIDR's nedich hawwe ynstee fan in groepreferinsje. De proseduere foar beheard Client VPN is gjin bewiis dat de oanbuorde groep fan elke gateway as universeel identiteitstoken foar trochstjoerde pakketten wurket.

Ien NAT-hop op it paad is genôch om de oanname te brekken, en de stoaring liket op in regel dy't oanwêzich is mar nea oerienkomt.

Besjoch de effektive grins

Lês elke befeiligingsgroep dy't oan 'e boarne ferbûn is, want tastimmingsregels kombinearje en in smelle regel annulearret gjin bredere op in oare groep. Kontrolearje dan de netwurk-ACL, de hostfirewall en de eigen autorisaasje fan 'e applikaasje, dat aparte lagen mei aparte flaters binne.

Einigje mei ien tastien fersyk en ien doelbewust útsletten fersyk tsjin deselde boarne. It pear bewiist de grins, wylst ien suksesfolle ferbining allinnich bewiist dat der eat iepen is. Befêstigje de rûte, de effektive boarne en de bedoelde tsjinstpoarte ynstee fan it subnet dat it einpunt befettet.

Wurkfolchoarder: skriuw de fjouwerdielige eask, koppelje de groep oan 'e keppelingen, behein de regel fan 'e boarne ta de poarte, ferifiearje ien tastimming en ien wegering, en earst dan kinne jo subnetten diele om redenen fan routing.