Reglur AWS Client VPN eiga heima hjá tilfanginu, ekki í undirnetinu

Starfsfólk þarf að ná í eitt forrit í VPC og má ekki ná í gagnagrunnshlustaran á sama tilviki, svo einhver bætir við öðru opinberu undirneti fyrir VPN-endastöðina og segir kröfuna uppfyllta. Staðsetning undirnetsins breytir leiðarvali og framboði. Hún veitir eða heldur ekki einu porti. Heimildin sem tjáir kröfuna býr á áfangastaðnum, í öryggishópi tilfangsins, og VPN-mörkin veita handfangið sem reglan vísar til.

Staðsetning undirnetsins er leiðarval, ekki heimild

Hvar nettenging endastöðvarinnar er staðsett ræður því hvaða leiðatöflur bera biðlaraumferð og hvaða framboðssvæði lifa bilun af. Hún segir ekkert um hvaða port á hvaða tilviki sú umferð getur náð. Tveir biðlarar tengdir sama undirneti koma enn með sömu upprunakennd, og tilfangið getur ekki greint þá að undirnetsheiti.

Byrjið frekar á kröfunni: hver hringir, hvaða tilfang, hvaða þjónustuport og hvaða stefna. Veljið síðan reglulíkanið sem getur tjáð þessi fjögur atriði á áfangastaðnum. Þessi nálgun fjarlægir viðbótarundirnetið yfirleitt alveg úr hönnuninni.

Tengihópur Client VPN er handfangið

Fyrir AWS Client VPN-endastöð sem er tengd undirneti er fyrirskipuð skipan skýr. Beitið fyrirhuguðum öryggishópi á marknetstengingar endastöðvarinnar og leyfið síðan nauðsynlega umferð í öryggishópi tilfangsins með því að nota þann Client VPN-hóp sem uppruna.

Nánar tiltekið leyfir hópur forritstilviksins forritsportið frá tengihópnum og ekkert annað. Ferli AWS fyrir aðgang að tilfangi lýsir þessu sambandi, og það borgar sig að halda sömu hópstefnu á hverju undirneti sem endastöðin tengist, því úrelt tenging við annan hóp víkklar mörkin hljóðlega.

Sú regla sannvottar engan. Innskráning er sérstök stjórnun, og leiðin að tilfanginu er þriðja. Allar þrjár verða að gilda áður en beiðni berst. Hver sem bregst ræður því hvaða lagfæring er rétt, og reglubreyting er rétta svarið aðeins fyrir þá fyrstu.

Hvað einn tengihópur getur ekki greint að

Sérhver biðlari bak við sama tengihóp nær í tilfangið sem sami öryggishópsuppruni. Tveir notendur með ólík hlutverk eru ógreinanlegir á því lagi, hvernig sem hópurinn er nefndur eða merktur. Heimild utanaðkomandi hópa í Client VPN takmarkar aðgang eftir áfangastaðarforskeyti fyrir skráar- eða SAML-hóp, sem er grófara en hlutverk tilfangs og ætti að meðhöndla sem netmörk en ekki auðkenniskerfi.

Fínni greiningar tilheyra forritinu. Gagnagrunnshlustari sem verður að vera lokaður fyrir flestu starfsfólki er betur varinn með því að vera alls ekki aðgengilegur á leyfða forskéttinu en með því að vona að hópmeðlimir haldist í lagi.

Endurnefning hópsins skapar ekki auðkenni, og tvítekning hans fyrir hvert teymi margfaldar bara tengingarnar sem þarf að endurskoða.

Ekki afrita þessa reglu í hverja VPN-hönnun

Sjálfstýrð EC2 VPN-gátt, beint skoðunartæki og stýrð Client VPN eru þrjár ólíkar pakkaleiðir. Greinið hvaða upprunavistfang nær í raun í tilfangið, hvort þýðing á sér stað á leiðinni og hvaða tilvísunaraðferðir þjónustan styður á þeirri leið.

Að beina umferð um millitæki varðveitir ekki tilvísun upprunans í öryggishóp eins og bein umferð milli tilvika gerir. AWS skjalfestir að slíkar hönnun geti þurft viðeigandi einkaupprunavistföng eða CIDR í stað hóptilvísunar. Ferli stýrðs Client VPN er ekki sönnun þess að tengdur hópur hverrar gáttar virki sem alhliða auðkennis-þókn fyrir áframsendar pakkningar.

Ein NAT-hopp á leiðinni nægir til að brjóta forsenduna, og bilunin lítur út eins og regla sem er til staðar en passar aldrei.

Farið yfir raunveruleg mörk

Lesið hvern öryggishóp sem er tengdur tilfanginu, því leyfisreglur leggjast saman og þröng regla afléttir ekki víðari reglu á öðrum hópi. Athugið síðan net-ACL, eldvegg hýsilsins og eigin heimild forritsins, sem eru aðskilin lög með aðskildum mistökum.

Ljúkið með einni leyfðri beiðni og einni viljandi útilokaðri beiðni gegn sama tilfangi. Parið sannar mörkin, en ein ein árangursrík tenging sannar aðeins að eitthvað sé opið. Staðfestið leiðina, raunverulega upprunann og fyrirhugað þjónustuport frekar en undirnetið sem inniheldur endastöðina.

Vinnulögin: skrifið fjögurra hluta kröfuna, tengið hópinn við tengingarnar, takmarkið reglu tilfangsins við portið, sannreynið eina heimild og eina synjun, og íhugið þá fyrst að skipta undirnetum vegna leiðarvals.