EC2-regel allinnich foar VPN: elke oanhinge befeiligingsgroep moat it iens wêze

Jo foegje ien yngeande regel ta foar de VPN-klantpool, ferwiderje neat, en de tsjinst is noch altyd fan it ynternet ôf berikber. Neat is stikken. In befeiligingsgroep hat gjin oerskriuwing, prioriteit of definitive wegering dêr't de smelle regel tsjin winne kin. Elke groep dy't oan de ynstânsje ferbûn is, draacht syn eigen tastimmingen by oan ien gearfoege set, en de brede regel dy't jo fergetten binne, sit noch yn dy set. De ynstânsje allinnich-VPN meitsje betsjut se allegear te kontrolearjen, net ien in better klinkende regel ta te foegjen.

Skriuw de tsjinst op foardat jo de regel skriuwe

Begjin mei de krekte bestimming, it protokol en de poarte, en it netwurkynterface dêr't de tsjinst eins op harket. In ynstânsje mei ferskate ynterfaces of ferskate tsjinsten op ien poarte freget om de kontrôle per ynterface, om't de oanhinge groepen ferskille kinne. Bepaal dan hokker boarneadres dat ynterface eins foar in VPN-brûker ûntfangt, ynstee fan it adres dat de klant yn syn eigen ferbiningfinster sjen lit.

Dy twa adressen ferskille faker as't minsken ferwachtsje sadree't oersetting en routing derby komme.

Trije boarnemodellen, trije ferskillende regels

By privee rûtele tagong krijt de ynstânsje de klantpool of it bedriuwsberik, ôfhinklik fan hoe't it paad rûte en oerset wurdt. By in iepenbier einpunt dat berikt wurdt fia de bedriuwsútgong, sjocht de ynstânsje ynstee it bedriuws-NAT-adres, en allinnich as dy bestimming echt it VPN-paad brûkt, om't split-tunneling it op in thúsfrebbing litte kin. By in beheard Client VPN-einpunt jildt it dokumintearre assosjaasje- en doelnetwurkmodel, en it klantadres komt út 'e konfigurearre klant-CIDR.

Wat net wurket, is in VPN-gateway as boarne fan in befeiligingsgroep te neamen. Groepsferwizings komme oerien mei elastyske netwurkynterfaces yn 'e VPC of in peard netwurk, en in gateway dy't pakketten trochstjoert is net ien fan dy.

Lês de feriening oer alle oanhinge groepen

Iepenje de ynstânsje, fyn it netwurkynterface en list elke befeiligingsgroep op dy't dêroan ferbûn is. Kontrolearje foar eltse elke regel dy't jo protokol en poarte dekt, ynklusyf brede poarteberikken en beide adresfamyljes. In IPv4-regel fan 0.0.0.0/0 ûntslacht jo net fan it kontrolearjen fan ::/0, en in regel dy't al it ferkear tastiet ferberget de poartefraach folslein. Pas nei dy ynventarisaasje kinne jo sizze wat de effektive tastimming foar de tsjinst is.

De AWS-regelreferinsje beskriuwt befeiligingsgroepen as allinnich-tastien en stelt dat de regels fan alle oanhinge groepen gearfoege wurde, wat it hiele meganisme efter dizze misse is.

Netwurk-ACL's binne in apart, steatleas belied mei oardere tastien- en wegeringsynfier, en se wurde op it subnet beoardiele, net op de ynstânsje.

Antwurdzje net mei in wegeringsmuorre

In subnetbrede NACL-wegering tafoegje om in firewall nei te beartsen dêr't jo oan wend binne, is it ferkearde ark en in riskant. NACL-ynfier is oardere en steatleas, sadat in wegering boppe in besteande tastimming stil gewoan ferkear brekt, ynklusyf it werompaad foar de sesjes dy't jo besochten te hâlden. Reparearje de brede befeiligingsgroepstastimming yn 'e groep dy't him besit, en lit de ACL dan mei rêst, útsein as it echt diel fan it ûntwerp is.

In iepenbier adres fan de ynstânsje helje is in sterker garânsje, en it is ek in arsjitektoanyske feroaring mei bestjoerlike en tapassingsfolgen, net in fluchfakje op in tastimmingslist.

Test mei in nije sesje en hâld in wei nei binnen

Foardat jo in besteande tastimming opheffe, befêstigje in goedkarde ûnôfhinklike bestjoerswei, want de regel dy't jo op it punt steane te ferwiderjen kin dejinge wêze dêr't jo sesjeherstel fan ôfhinklik is. Test dan in nije tastiene ferbining fan 'e VPN en in nije wegere ferbining fan in autorisearre net-VPN-testwei. Besteande folge sesjes oerlibje regelwizigingen op manieren dy't âlde iepen shells as akseptaasjebewiis nutteleas meitsje.

Hâld ta beslút de eigen autorisaasje fan 'e tapassing op syn plak. In oersetten bedriuwsútgong kin hûnderten minsken fertsjinwurdigje, en netwurkbegaadzje hat nea in yndividuele brûker of syn apparaat identifisearre.