EC2-szabály csak VPN-re: minden csatolt biztonsági csoportnak egyet kell értenie

Egy bejövő szabályt ad hozzá a VPN-ügyfélkészlethez, semmit nem távolít el, és a szolgáltatás továbbra is elérhető az internetről. Semmi sem tört el. A biztonsági csoportnak nincs felülírása, prioritása vagy végső tiltása, amely ellen a szűk szabály győzhetne. A példányhoz csatolt minden csoport a saját engedélyeit adja egyetlen összevont halmazhoz, és az a széles szabály, amelyről megfeledkezett, még mindig benne van abban a halmazban. A példány csak-VPN-né tétele azt jelenti, hogy mindegyiket auditálja, nem pedig egy jobban hangzó szabályt ad hozzá az egyikhez.

Írja le a szolgáltatást, mielőtt megírja a szabályt

Kezdje a pontos céllal, protokollal és porttal, valamint azzal a hálózati csatolóval, amelyen a szolgáltatás valójában figyel. A több csatolóval vagy egy porton több szolgáltatással rendelkező példány csatolónkénti auditot igényel, mert a csatolt csoportok eltérhetnek. Ezután határozza meg, melyik forráscímet kapja valójában ez a csatoló egy VPN-felhasználó számára, nem pedig azt a címet, amelyet az ügyfél a saját kapcsolati ablakában mutat.

Ez a két cím gyakrabban tér el egymástól, mint ahogy az emberek várják, amint a fordítás és az útválasztás is bekerül a képbe.

Három forrásmodell, három különböző szabály

Privát útválasztott hozzáférésnél a példány az ügyfélkészletet vagy a vállalati tartományt kapja, attól függően, hogyan van az útvonal átirányítva és lefordítva. A vállalati kimeneten keresztül elért nyilvános végpontnál a példány helyette a vállalati NAT-címet látja, és csak akkor, ha az a cél valóban a VPN-útvonalat használja, mivel az osztott alagútkezelés otthoni kapcsolaton hagyhatja. Felügyelt Client VPN-végpontnál a dokumentált társítási és célhálózati modell érvényes, és az ügyfél címe a beállított ügyfél-CIDR-ből származik.

Ami nem működik, az a VPN-átjáró hivatkozása biztonsági csoport forrásaként. A csoporthivatkozások a VPC-n vagy egy társított hálózaton belüli rugalmas hálózati csatolókra illeszkednek, és egy csomagokat továbbító átjáró nem tartozik közéjük.

Olvassa el az egyesítést minden csatolt csoporton át

Nyissa meg a példányt, keresse meg a hálózati csatolóját, és listázza az összes hozzá csatolt biztonsági csoportot. Mindegyiknél ellenőrizze az összes szabályt, amely lefedi a protokollját és portját, beleértve a széles porttartományokat és mindkét címcsaládot. A 0.0.0.0/0-ból származó IPv4-szabály nem mentesíti a ::/0 ellenőrzése alól, és a teljes forgalmat engedélyező szabály teljesen elrejti a port kérdését. Csak e leltár után mondhatja meg, mi a szolgáltatás tényleges engedélye.

Az AWS-szabályreferencia a biztonsági csoportokat csak-engedélyezőként írja le, és kimondja, hogy az összes csatolt csoport szabályai összesítődnek, és ez a teljes mechanizmus e hiba mögött.

A hálózati ACL-ek külön, állapotmentes szabályzatok rendezett engedélyező és tiltó bejegyzésekkel, és az alhálózaton értékelődnek ki, nem a példányon.

Ne tilalmi fallal válaszoljon

Alhálózat-szintű NACL-tiltás hozzáadása egy megszokott tűzfal utánzására rossz eszköz és kockázatos. A NACL-bejegyzések rendezettek és állapotmentesek, ezért a meglévő engedély fölé helyezett tiltás csendben megtöri a nem kapcsolódó forgalmat, beleértve azon munkamenetek visszaútját is, amelyeket meg akart tartani. Javítsa a széles biztonságicsoport-engedélyt abban a csoportban, amelyik birtokolja, majd hagyja békén az ACL-t, hacsak nem valóban a tervezés része.

A nyilvános cím eltávolítása a példányról erősebb garancia, és ez egyben architekturális változás adminisztratív és alkalmazási következményekkel, nem egy jelölőnégyzet az engedélylistán.

Teszteljen új munkamenettel, és tartson fenn egy bejutási útvonalat

Mielőtt bármely meglévő engedélyt visszavon, erősítsen meg egy jóváhagyott, független adminisztratív útvonalat, mert előfordulhat, hogy a törölni kívánt szabály az, amelytől a munkamenet helyreállítása függ. Ezután teszteljen egy új engedélyezett kapcsolatot a VPN-ből és egy új elutasított kapcsolatot egy engedélyezett, nem VPN-es tesztútvonalról. A meglévő követett munkamenetek úgy élik túl a szabályváltozásokat, hogy a régi nyitott shellek elfogadási bizonyítékként használhatatlanná válnak.

Végül tartsa a helyén az alkalmazás saját engedélyezését. Egy lefordított vállalati kimenet több száz embert képviselhet, és a hálózati belépés soha nem azonosított egyéni felhasználót vagy annak eszközét.