Riail EC2 le haghaidh VPN amháin: caithfidh gach grúpa slándála ceangailte aontú

Cuireann tú riail ionchuir amháin leis don linn cliant VPN, ní bhaineann tú aon rud, agus tá an tseirbhís fós inrochtana ón idirlíon. Níl aon rud briste. Níl aon sárú, tosaíocht ná diúltú deiridh ag grúpa slándála ar féidir leis an riail chúng a bhuachan ina choinne. Cuireann gach grúpa atá ceangailte leis an gcás a cheadanna féin le sraith chomhcheangailte amháin, agus tá an riail leathan a rinne tú dearmad uirthi fós sa tsraith sin. Chun an cás a dhéanamh VPN amháin ciallaíonn sé iad go léir a iniúchadh, ní riail a fhuaimníonn níos fearr a chur le ceann amháin.

Scríobh síos an tseirbhís sula scríobhann tú an riail

Tosaigh leis an gceann scríbe cruinn, an prótacal agus an port, agus an chomhéadan líonra a éisteann an tseirbhís air i ndáiríre. Teastaíonn an t-iniúchadh in aghaidh an chomhéadain ó chás a bhfuil roinnt comhéadan nó roinnt seirbhísí ar aon phort aige, mar go bhféadfadh na grúpaí ceangailte a bheith difriúil. Ansin socraigh cén seoladh foinse a fhaigheann an comhéadan sin i ndáiríre do úsáideoir VPN, seachas an seoladh a thaispeánann an cliant ina fhuinneog nasctha féin.

Éiríonn an dá sheoladh sin éagsúil níos minice ná mar a mbíonn súil ag daoine nuair a thagann aistriúchán agus ródú isteach.

Trí mhúnla foinse, trí riail dhifriúla

Le rochtain phríobháideach ródaithe, faigheann an cás an linn cliant nó an raon corparáideach, ag brath ar conas a dhéantar an cosán a ródú agus a aistriú. Le críochphointe poiblí a shroichtear trí eisíocaíocht chorparáideach, feiceann an cás seoladh NAT corparáideach ina ionad, agus amháin má úsáideann an ceann scríbe sin an cosán VPN i ndáiríre, ós rud é gur féidir le tollánú scoilte é a fhágáil ar nasc baile. Le críochphointe Client VPN bainistithe, tá an múnla doiciméadaithe comhlachais agus líonra sprice i bhfeidhm, agus tagann seoladh an chliaint ón CIDR cliant atá cumraithe.

Is é an rud nach n-oibríonn ná geata VPN a lua mar fhoinse grúpa slándála. Meaitseálann tagairtí grúpa comhéadain líonra leaisteacha laistigh den VPC nó de líonra piaraigh, agus ní hé geata a aistríonn paicéid ceann acu.

Léigh an t-aontas thar gach grúpa ceangailte

Oscail an cás, aimsigh a chomhéadan líonra, agus liostaigh gach grúpa slándála atá ceangailte leis. I gcás gach ceann, seiceáil gach riail a chlúdaíonn do phrótacal agus do phort, lena n-áirítear raonta port leathana agus an dá theaghlach seoladh. Ní shaorann riail IPv4 ó 0.0.0.0/0 tú ó ::/0 a sheiceáil, agus cealaíonn riail a cheadaíonn gach trácht an cheist faoin bport ar fad. Ní féidir leat a rá cad é an cead éifeachtach don tseirbhís ach amháin tar éis an fhardail sin.

Déanann tagairt rialacha AWS cur síos ar ghrúpaí slándála mar rudaí ceadaithe-amháin agus deir sé go ndéantar rialacha gach grúpa ceangailte a chomhiomlánú, agus sin an mheicníocht iomlán taobh thiar den teip seo.

Is polasaí ar leithligh iad ACLanna líonra atá gan staid, le hiontrálacha ceadaithe agus diúltaithe in ord, agus déantar iad a mheas ar an bhfo-líonra seachas ar an gcás.

Ná freagair le balla diúltaithe

Is é an uirlis mhícheart agus ceann riosca é diúltú NACL ar fud an fho-líonra a chur leis chun aithris a dhéanamh ar bhalla dóiteáin a bhfuil tú cleachtaithe leis. Tá hiontrálacha NACL in ord agus gan staid, mar sin briseann diúltú a chuirtear os cionn cead atá ann cheana trácht neamhghaolmhar go ciúin, lena n-áirítear an cosán fillte do na seisiúin a bhí tú ag iarraidh a choinneáil. Deisigh cead leathan an ghrúpa slándála sa ghrúpa a shealbhaíonn é, agus ansin fág an ACL i gcónaí mura bhfuil sé ina chuid den dearadh i ndáiríre.

Is ráthaíocht níos láidre é seoladh poiblí a bhaint den chás, agus is athrú ailtireachta é freisin a bhfuil iarmhairtí riaracháin agus feidhmchláir aige, ní bosca seiceála ar liosta cead.

Tástáil le seisiún nua agus coinnigh bealach isteach

Sula dtéann tú ar scor ó aon chead atá ann cheana, deimhnigh cosán riaracháin neamhspleách ceadaithe, mar go bhféadfadh an riail atá tú ar tí a scriosadh a bheith mar an ceann a bhfuil aisghabháil do sheisiúin ag brath air. Ansin tástáil nasc ceadaithe nua ón VPN agus nasc diúltaithe nua ó chosán tástála údaraithe nach VPN é. Maireann seisiúin rianaithe atá ann cheana athruithe rialacha ar bhealaí a fhágann seanbhlaoscanna oscailte gan úsáid mar fhianaise glactha.

Ar deireadh, coinnigh údarú an fheidhmchláir féin ina áit. Is féidir le heisíocaíocht chorparáideach aistrithe seasamh do na céadta duine, agus níor shainaithin iontráil líonra riamh úsáideoir aonair ná a ghléas.