כלל EC2 ל-VPN בלבד: כל קבוצת אבטחה מחוברת חייבת להסכים
קבוצות אבטחה רק מתירות, וכל קבוצה מחוברת מוסיפה את ההרשאה שלה. גלו איזה מקור המופע באמת רואה לפני שמוסיפים כלל VPN צר.
אתם מוסיפים כלל נכנס אחד עבור מאגר לקוחות ה-VPN, לא מסירים דבר, והשירות עדיין נגיש מהאינטרנט. שום דבר לא שבור. לקבוצת אבטחה אין עקיפה, עדיפות או דחייה סופית שכלל צר יכול לנצח מולם. כל קבוצה המחוברת למופע תורמת את ההרשאות שלה לקבוצה משולבת אחת, והכלל הרחב ששכחתם עדיין נמצא באותה קבוצה. הפיכת המופע ל-VPN בלבד משמעה ביקורת של כולם, לא הוספת כלל שנשמע טוב יותר לאחד מהם.
רשמו את השירות לפני שכותבים את הכלל
התחילו ביעד המדויק, בפרוטוקול ובפורט, ובממשק הרשת שעליו השירות באמת מאזין. מופע עם כמה ממשקים או כמה שירותים על פורט אחד דורש ביקורת לכל ממשק, כי הקבוצות המחוברות עשויות להיות שונות. לאחר מכן קבעו איזו כתובת מקור הממשק הזה באמת מקבל עבור משתמש VPN, ולא הכתובת שהלקוח מציג בחלון החיבור שלו.
שתי הכתובות הללו נפרדות לעתים קרובות יותר ממה שאנשים מצפים ברגע שתרגום וניתוב נכנסים לתמונה.
שלושה מודלים של מקור, שלושה כללים שונים
בגישה פרטית מנותבת, המופע מקבל את מאגר הלקוחות או את הטווח הארגוני, בהתאם לאופן שבו הנתיב מנותב ומתורגם. בנקודת קצה ציבורית שאליה מגיעים דרך יציאת החברה, המופע רואה במקום זאת את כתובת ה-NAT הארגונית, ורק אם היעד הזה באמת משתמש בנתיב ה-VPN, מכיוון שמינהור מפוצל יכול להשאיר אותו על חיבור ביתי. בנקודת קצה מנוהלת של Client VPN חל מודל השיוך ורשת היעד המתועד, וכתובת הלקוח מגיעה מה-CIDR של הלקוח שהוגדר.
מה שלא עובד הוא להפנות לשער VPN כמקור של קבוצת אבטחה. הפניות לקבוצה תואמות ממשקי רשת אלסטיים בתוך ה-VPC או ברשת מחוברת, ושער שמעביר מנות אינו אחד מהם.
קראו את האיחוד בכל הקבוצות המחוברות
פתחו את המופע, מצאו את ממשק הרשת שלו ורשמו כל קבוצת אבטחה המחוברת אליו. עבור כל אחת, בדקו כל כלל שמכסה את הפרוטוקול והפורט שלכם, כולל טווחי פורטים רחבים ושתי משפחות הכתובות. כלל IPv4 מ-0.0.0.0/0 לא פוטר אתכם מבדיקת ::/0, וכלל שמתיר את כל התעבורה מסתיר לגמרי את שאלת הפורט. רק לאחר המלאי הזה תוכלו לומר מהי ההרשאה האפקטיבית לשירות.
מסמך הכללים של AWS מתאר קבוצות אבטחה כמתירות בלבד וקובע שהכללים מכל הקבוצות המחוברות נצברים, וזהו כל המנגנון שמאחורי הכשל הזה.
ACL רשת הם מדיניות נפרדת וחסרת מצב עם רשומות התרה ודחייה מסודרות, והם מוערכים ברשת המשנה ולא במופע.
אל תענו בחומת דחיות
הוספת דחיית NACL ברמת רשת המשנה כדי לחקות חומת אש שאתם רגילים לה היא הכלי הלא נכון ומסוכן. רשומות NACL מסודרות וחסרות מצב, ולכן דחייה המונחת מעל התרה קיימת שוברת בשקט תעבורה לא קשורה, כולל נתיב החזרה של ההפעלות שביקשתם לשמור. תקנו את ההתרה הרחבה של קבוצת האבטחה בקבוצה שבבעלותה, ואז הניחו ל-ACL, אלא אם הוא באמת חלק מהתכנון.
הסרת כתובת ציבורית מהמופע היא הבטחה חזקה יותר, והיא גם שינוי ארכיטקטוני עם השלכות ניהוליות ויישומיות, לא תיבת סימון ברשימת הרשאות.
בדקו בהפעלה חדשה ושמרו דרך להיכנס
לפני שאתם מוותרים על התרה קיימת כלשהי, ודאו נתיב ניהול עצמאי ומאושר, כי הכלל שאתם עומדים למחוק עשוי להיות זה ששחזור ההפעלה שלכם תלוי בו. לאחר מכן בדקו חיבור מותר חדש מה-VPN וחיבור אסור חדש מנתיב בדיקה מורשה שאינו VPN. הפעלות במעקב קיימות שורדות שינויי כללים באופן שהופך מעטפות פתוחות ישנות לחסרות תועלת כראיית קבלה.
לבסוף, שמרו על ההרשאה של היישום עצמו במקומה. יציאה ארגונית מתורגמת יכולה לייצג מאות אנשים, והכניסה לרשת מעולם לא זיהתה משתמש בודד או את מכשירו.