EC2-ի կանոն միայն VPN-ի համար. յուրաքանչյուր միացված անվտանգության խումբ պետք է համաձայնի
Անվտանգության խմբերը միայն թույլատրում են, և յուրաքանչյուր միացված խումբ ավելացնում է իր սեփական թույլտվությունը։ Նախքան նեղ VPN կանոն ավելացնելը պարզեք, թե ինչ աղբյուր է իրականում տեսնում ինստանսը։
Դուք ավելացնում եք մեկ մուտքային կանոն VPN հաճախորդների լողավազանի համար, ոչինչ չեք հեռացնում, և ծառայությունը դեռ հասանելի է ինտերնետից։ Ոչինչ չի կոտրվել։ Անվտանգության խումբը չունի վերափոխում, առաջնահերթություն կամ վերջնական մերժում, որի դեմ նեղ կանոնը կարող էր հաղթել։ Ինստանսին միացված յուրաքանչյուր խումբ իր թույլտվությունները բերում է մեկ միավորված բազմության, և ձեր մոռացած լայն կանոնը դեռ այդ բազմության մեջ է։ Ինստանսը միայն-VPN դարձնելը նշանակում է ստուգել բոլորին, ոչ թե ավելի լավ հնչող կանոն ավելացնել մեկին։
Գրի առեք ծառայությունը, նախքան կանոնը գրելը
Սկսեք ճշգրիտ նպատակակետից, արձանագրությունից և պորտից, ինչպես նաև այն ցանցային ինտերֆեյսից, որի վրա ծառայությունն իրականում լսում է։ Մի քանի ինտերֆեյս կամ մեկ պորտի վրա մի քանի ծառայություն ունեցող ինստանսը պահանջում է աուդիտ յուրաքանչյուր ինտերֆեյսի համար, քանի որ միացված խմբերը կարող են տարբերվել։ Այնուհետև որոշեք թե այդ ինտերֆեյսն իրականում որ աղբյուրի հասցեն է ստանում VPN օգտատիրոջ համար, այլ ոչ թե այն հասցեն, որը հաճախորդը ցույց է տալիս իր սեփական կապի պատուհանում։
Այդ երկու հասցեները տարբերվում են ավելի հաճախ, քան մարդիկ սպասում են, հենց որ թարգմանությունն ու երթուղավորումը մտնում են խաղի մեջ։
Երեք աղբյուրի մոդել, երեք տարբեր կանոն
Մասնավոր երթուղավորված հասանելիության դեպքում ինստանսը ստանում է հաճախորդների լողավազանը կամ կորպորատիվ միջակայքը՝ կախված նրանից, թե ինչպես է ուղին երթուղավորվում և թարգմանվում։ Կորպորատիվ ելքով հասանելի հանրային վերջնակետի դեպքում ինստանսը փոխարենը տեսնում է կորպորատիվ NAT հասցեն, և միայն այն դեպքում, եթե այդ նպատակակետն իրականում օգտագործում է VPN ուղին, քանի որ բաժանված թունելավորումը կարող է այն թողնել տնային կապի վրա։ Կառավարվող Client VPN վերջնակետի դեպքում գործում է փաստաթղթավորված միացման և թիրախային ցանցի մոդելը, և հաճախորդի հասցեն գալիս է կարգավորված հաճախորդի CIDR-ից։
Այն, ինչ չի աշխատում, VPN դարպասը որպես անվտանգության խմբի աղբյուր հղելն է։ Խմբի հղումները համապատասխանում են VPC-ի կամ զուգակցված ցանցի ներսում առաձգական ցանցային ինտերֆեյսներին, և փաթեթներ փոխանցող դարպասը դրանցից մեկը չէ։
Կարդացեք միավորումը բոլոր միացված խմբերում
Բացեք ինստանսը, գտեք նրա ցանցային ինտերֆեյսը և թվարկեք դրան միացված յուրաքանչյուր անվտանգության խումբ։ Յուրաքանչյուրի համար ստուգեք ձեր արձանագրությունն ու պորտը ծածկող բոլոր կանոնները, ներառյալ լայն պորտային միջակայքերը և հասցեների երկու ընտանիքները։ 0.0.0.0/0-ից IPv4 կանոնը ձեզ չի ազատում ::/0-ը ստուգելուց, և ամբողջ երթևեկությունը թույլատրող կանոնը լիովին թաքցնում է պորտի հարցը։ Միայն այս գույքագրումից հետո կարող եք ասել, թե որն է ծառայության արդյունավետ թույլտվությունը։
AWS-ի կանոնների տեղեկատուն անվտանգության խմբերը նկարագրում է որպես միայն-թույլատրող և նշում, որ բոլոր միացված խմբերի կանոնները համախմբվում են, և դա է այս ձախողման հետևում կանգնած ամբողջ մեխանիզմը։
Ցանցային ACL-ները առանձին, անվիճակ քաղաքականություն են՝ կարգավորված թույլատրող և մերժող գրառումներով, և դրանք գնահատվում են ենթացանցի վրա, ոչ թե ինստանսի։
Մի պատասխանեք մերժումների պատով
Ենթացանցային մակարդակով NACL մերժում ավելացնելը՝ ձեր սովոր ֆայրվոլը նմանակելու համար, սխալ գործիք է և ռիսկային։ NACL գրառումները կարգավորված են և անվիճակ, ուստի գոյություն ունեցող թույլտվությունից վեր դրված մերժումը լուռ կոտրում է անկապ երթևեկությունը, ներառյալ այն սեսիաների վերադարձի ուղին, որոնք փորձում էիք պահել։ Ուղղեք լայն անվտանգության խմբի թույլտվությունը այն խմբում, որը տիրապետում է դրան, ապա թողեք ACL-ը հանգիստ, եթե այն իսկապես նախագծի մաս չէ։
Ինստանսից հանրային հասցեն հեռացնելը ավելի ուժեղ երաշխիք է, և դա նաև ճարտարապետական փոփոխություն է՝ վարչական և կիրառական հետևանքներով, ոչ թե թույլտվությունների ցանկի նշիչ։
Փորձարկեք նոր սեսիայով և պահպանեք ներս մտնելու ուղին
Նախքան որևէ գոյություն ունեցող թույլտվությունից հրաժարվելը հաստատեք հաստատված անկախ վարչական ուղի, քանի որ այն կանոնը, որը պատրաստվում եք ջնջել, կարող է լինել այն, ինչից կախված է ձեր սեսիայի վերականգնումը։ Այնուհետև փորձարկեք նոր թույլատրված կապ VPN-ից և նոր մերժված կապ թույլատրված ոչ VPN փորձարկման ուղուց։ Գոյություն ունեցող հետևվող սեսիաները վերապրում են կանոնների փոփոխությունները այնպես, որ հին բաց shell-երը դառնում են անօգուտ որպես ընդունման ապացույց։
Վերջում պահեք հավելվածի սեփական լիազորումը տեղում։ Թարգմանված կորպորատիվ ելքը կարող է ներկայացնել հարյուրավոր մարդկանց, և ցանցային ընդունումը երբեք չի նույնականացրել առանձին օգտատիրոջ կամ նրա սարքը։