Ամպային անվտանգության խումբ VPN-ի համար՝ բացեք լսողին, ոչ թե ամեն ինչ

VPN սերվերը աշխատում է, հաճախորդի ժամկետը լրանում է, և առաջին արձագանքը ամեն ինչ թույլատրող կանոն ավելացնելն է անվտանգության խմբին։ Երբեմն դա օգնում է, և հենց դա է ամենավատ արդյունքը, որովհետև այժմ ոչ ոք չգիտի, թե որ սահմանն է իրականում փակվել։ Հաճախորդի և դեմոնի միջև կան չորս առանձին զտիչներ, և դրանցից միայն մեկն է անվտանգության խումբը։

Անվանեք արձանագրությունը կանոնից առաջ

Կանոնը արձանագրություն է, պորտերի շրջանակ և աղբյուր։ WireGuard-ը լսում է UDP-ով, սովորաբար 51820։ OpenVPN սովորաբար UDP կամ TCP 1194 է՝ կախված կարգավորումից։ IPsec-ին անհրաժեշտ է IKE փոխանակում UDP 500 և 4500 պորտերով, ինչպես նաև ինքը ESP արձանագրությունը, որը պորտ չէ, այլ արձանագրության համար։ TCP գուշակելը, քանի որ մյուս կանոնները TCP են, հանգեցնում է կանոնի, որը ճիշտ է թվում և ոչնչի չի համապատասխանում։

Լսողին կարդացեք աշխատող ծառայությունից, ոչ թե ձեռնարկից. Մեկ հասցեին կապված դեմոնը չի ընդունի այլ հասցեով եկող թրաֆիկ։

Աղբյուրը սահմանափակեք նախագծի թույլատրած հաճախորդների շրջանակով, ոչ թե ամբողջ ինտերնետով։

Անվտանգության խմբերը վիճակային են, ենթացանցային ACL-ները՝ ոչ

Անվտանգության խմբերը վիճակային են և միայն թույլատրում են․ թույլատրված ներթափանցող հոսքը պատասխանները ստանում է ինքնաշխատ, և մերժման կանոն չկա, որի մասին մտածել։ Ենթացանցային ACL-ները վիճակազուրկ են և գնահատվում են երկու ուղղությամբ, ուստի համապատասխան ելքային ժամանակավոր շրջանակի բացակայության դեպքում ներթափանցող թույլտվությունը դեռ ձախողվում է։ Այդ տարբերությունը բացատրում է շատ կանոններ, որոնք կոնսոլում ճիշտ են թվում։

Ստուգեք նաև, թե որ քաղաքականությունն է կցված աշխատող վերջնակետին, քանի որ օրինակը կարող է ունենալ մեկից ավելի խումբ, և չկցված խմբի կանոնը ոչինչ չի փոխում։

Արդյունավետ քաղաքականությունը կցվածների միավորումն է, ոչ թե ձեր խմբագրած ֆայլը։

Հոսթի ֆայրվոլը առանձին սահման է

Ամպային քաղաքականությունը թրաֆիկը թույլ է տալիս մինչև ցանցային ինտերֆեյս, ապա օպերացիոն համակարգը որոշում է՝ դեմոնը կտեսնի այն, թե ոչ։ Հոսթի ֆայրվոլ լռելյայն մերժման քաղաքականությամբ կգցի այն փաթեթը, որը անվտանգության խումբը թույլատրել էր, և ամպային կոնսոլը մերժում չի ցուցադրի, որովհետև երբեք կարծիք չի ունեցել։ Ստուգեք երկուսն էլ՝ այն հերթականությամբ, որով փաթեթը հանդիպում է նրանց։

Եթե հոսթը օգտագործում է բաշխման ֆայրվոլի առաջապահ, ստուգեք հիմքում ընկած կանոնները, ոչ թե պրոֆիլի անունը, որովհետև պրոֆիլը կարող է ակտիվ լինել, մինչ պորտը փակ է։

Ինտերֆեյսի վրա գրավումը ձեզ ասում է, թե որ սահմանն է գցել փաթեթը։

Լսողին թույլատրելը հաճախորդների երթուղավորում չէ

Հաճախորդների թրաֆիկը փոխանցող VPN դարպասին ավելին է պետք, քան բաց պորտը։ Անհրաժեշտ է IP փոխանցում, քաղաքականություն, որը թույլ է տալիս հոսքը թունելի ինտերֆեյսից դեպի նպատակակետ ցանց, և հաճախ ինտերֆեյսի վրա անջատված աղբյուր-նպատակակետ ստուգում, որպեսզի հարթակը չմերժի իրեն չուղղված թրաֆիկը։ Այս ոչինչ չի ստեղծում լսողի կանոնը։

Այստեղ են բաժանվում աշխատող ձեռքսեղմումն ու կոտրված տվյալների ուղին, և դրա համար թունելի կարգավիճակը կարող է առողջ թվալ, մինչ ոչինչ չի բեռնվում։

Ուղղորդումը շտկեք որպես առանձին փոփոխություն՝ իր ստուգմամբ, և նկատեք, որ փոխանցող դարպասին անհրաժեշտ է նաև ելքային քաղաքականություն, որը թույլ է տալիս նպատակակետը։

Թողեք վերադարձի ուղի, ապա նեղացրեք կանոնը

Հեռավոր ֆայրվոլի քաղաքականությունը փոխելուց առաջ ստուգեք, որ գոյություն ունի անկախ կառավարման ուղի, օրինակ՝ նստաշրջանների կառավարիչ, սերիական կոնսոլ կամ ժապավենից դուրս ցանց։ Եթե միակ կառավարման ուղին անցնում է ձեր խմբագրած կանոնով, վերականգնում չունեք։ Այնուհետև կիրառեք նեղ կանոնը, փորձարկեք իրական հաճախորդից և փորձը կապեք սերվերի կողմի ապացույցների հետ։ Նույն մեքենայի վրա այլ ծառայության պատասխանը ապացույց չէ, որ լսողին հասել են։

Հեռացրեք ցանկացած փորձնական լայն թույլտվություն, հենց որ նեղը աշխատի, և նշեք, թե ինչու է կանոնը գոյություն ունի։ AWS-ը փաստագրում է անվտանգության խմբերի վիճակային վարքը, և հենց այդ փաստաթուղթն է, որ պետք է մեջբերել, երբ ինչ-որ մեկը լայն շրջանակ է առաջարկում որպես կարճ ուղի։

Փաստագրեք նաև կցումը, այլապես փոխարինող ինտերֆեյսը լուռ կկորցնի քաղաքականությունը։