Cloud sigurnosna grupa za VPN: otvorite slušatelja, ne sve

VPN poslužitelj radi, klijent istječe i prva je pomisao dodati pravilo koje dopušta sve u sigurnosnu grupu. To ponekad proradi i to je najgori ishod, jer sada nitko ne zna koja je granica zapravo zatvorena. Četiri odvojena filtra stoje između klijenta i daemona, a samo je jedan od njih sigurnosna grupa.

Imenujte protokol prije pravila

Pravilo je protokol, raspon portova i izvor. WireGuard sluša na UDP-u, obično 51820. OpenVPN je obično UDP ili TCP 1194 ovisno o konfiguraciji. IPsec treba IKE razmjenu na UDP 500 i 4500 plus sam ESP protokol, koji je broj protokola, a ne port. Pogađanje TCP-a zato što su druga pravila TCP vodi do pravila koje izgleda ispravno i ne odgovara ničemu.

Čitajte slušatelja iz pokrenute usluge, ne iz tutorijala. Daemon vezan na jednu adresu neće prihvatiti promet koji stigne na drugu.

Ograničite izvor na raspon klijenata koji dizajn dopušta, umjesto na cijeli internet.

Sigurnosne grupe pamte stanje; podmrežni ACL-i ne

Sigurnosne grupe pamte stanje i samo dopuštaju: dopušteni dolazni tok automatski dobiva odgovore i nema pravila odbijanja o kojem treba razmišljati. Podmrežni ACL-i ne pamte stanje i ocjenjuju se u oba smjera, pa dolazno dopuštanje bez odgovarajućeg odlaznog efemernog raspona i dalje pada. Ta razlika objašnjava mnoga pravila koja u konzoli izgledaju ispravno.

Potvrdite i koja je politika pridružena pokrenutom endpointu, jer instanca može imati više grupa, a pravilo u nepridruženoj grupi ne mijenja ništa.

Učinkovita politika je unija onoga što je pridruženo, a ne datoteka koju ste uredili.

Host firewall je odvojena granica

Cloud politika propušta promet do mrežnog sučelja, a zatim operativni sustav odlučuje hoće li ga daemon vidjeti. Host firewall s podrazumijevanom politikom odbijanja odbacit će paket koji je sigurnosna grupa dopustila, a cloud konzola neće pokazati odbijanje jer nikada nije imala mišljenje. Provjerite oboje, redom kojim paket nailazi na njih.

Ako host koristi distribucijsko firewall sučelje, potvrdite osnovna pravila, a ne naziv profila, jer profil može biti aktivan dok je port zatvoren.

Snimka na sučelju kaže vam koja je granica odbacila paket.

Dopustiti slušatelja nije isto kao usmjeravati klijente

VPN gateway koji prosljeđuje klijentski promet treba više od otvorenog porta. Treba IP prosljeđivanje, politiku koja dopušta tok od tunelskog sučelja do odredišne mreže i često isključenu provjeru izvora i odredišta na sučelju da platforma ne odbaci promet koji nije upućen njoj. Ništa od toga ne stvara pravilo za slušatelja.

Ovdje se razilaze radni handshake i pokvaren podatkovni put, i zato status tunela može izgledati zdrav dok se ništa ne učitava.

Popravite usmjeravanje kao odvojenu promjenu s vlastitom provjerom i zapazite da gateway koji prosljeđuje treba i izlaznu politiku koja dopušta odredište.

Ostavite put za povratak, pa suzite pravilo

Prije promjene udaljene firewall politike potvrdite da postoji neovisna putanja upravljanja, poput upravitelja sesija, serijske konzole ili izvanmrežne mreže. Ako jedina putanja upravljanja ide kroz pravilo koje uređujete, nemate oporavak. Zatim primijenite usko pravilo, testirajte sa stvarnog klijenta i povežite pokušaj s dokazima na strani poslužitelja. Odgovor druge usluge na istom stroju nije dokaz da je slušatelj dosegnut.

Uklonite svako eksperimentalno široko dopuštanje čim usko proradi i zabilježite zašto pravilo postoji. AWS dokumentira ponašanje sigurnosnih grupa sa pamćenjem stanja, i taj dokument treba citirati kada netko predloži širok raspon kao prečac.

Dokumentirajte i pridruživanje, inače će zamjensko sučelje tiho izgubiti politiku.