Skýjahópur öryggis fyrir VPN: opnaðu hlustarann, ekki allt

VPN-þjónninn keyrir, biðlarinn tímamarkast, og fyrsta eðlishvötin er að bæta reglu sem leyfir allt í öryggishópinn. Stundum lætur það það virka, og það er versta niðurstaðan, því núna veit enginn hvaða mörk voru í raun lokuð. Fjórir aðskildir siur standa milli biðlarans og daemonans, og aðeins einn þeirra er öryggishópurinn.

Nefndu samskiptaregluna fyrir regluna

Regla er samskiptaregla, portbil og uppspretta. WireGuard hlustar á UDP, venjulega 51820. OpenVPN er venjulega UDP eða TCP 1194 eftir stillingum. IPsec þarf IKE-skipti á UDP 500 og 4500 auk ESP-samskiptareglunnar sjálfrar, sem er númer samskiptareglu en ekki port. Að giska á TCP af því að hinar reglurnar eru TCP er hvernig fólk endar með reglu sem lítur rétt út og passar við ekkert.

Lestu hlustarann úr keyrandi þjónustunni, ekki úr kennsluefni. Daemon sem er bundinn við eitt vistfang tekur ekki við umferð sem kemur á annað.

Takmarkaðu uppsprettuna við biðlarabil það sem hönnunin leyfir, í stað alls internetsins.

Öryggishópar eru stöðuheldir; undirnet-ACL eru það ekki

Öryggishópar eru stöðuheldir og leyfa aðeins: leyft innkomandi flæði fær svörin sín sjálfkrafa, og engin synjunarregla er til að hugsa um. Undirnet-ACL eru stöðulaus og metin í báðar áttir, svo innkomandi leyfi án samsvarandi útfarandi skammtíma bils mistekst samt. Sá munur útskýrir margar reglur sem líta rétt út í stjórnborðinu.

Staðfestu líka hvaða stefna er tengd keyrandi endapunktinum, því tilvik getur haft fleiri en einn hóp og regla í ótengdum hópi breytir engu.

Virk stefna er samtala þess sem er tengt, ekki skráin sem þú breyttir.

Eldveggur hýsilsins er aðskilin mörk

Skýjastefnan hleypir umferð að netviðmótinu, og síðan ákveður stýrikerfið hvort daemoninn sér hana. Eldveggur hýsils með sjálfgefinni synjunarstefnu mun sleppa pakka sem öryggishópurinn leyfði, og skýjastjórnborðið sýnir enga synjun því það hafði aldrei skoðun. Athugaðu bæði, í þeirri röð sem pakkinn mætir þeim.

Ef hýsillinn notar eldveggsviðmót dreifingarinnar skaltu staðfesta undirliggjandi reglurnar frekar en sniðsheitið, því snið getur verið virkt á meðan portið er lokað.

Upptaka á viðmótinu segir þér hvaða mörk slepptu pakkanum.

Að hleypa hlustaranum er ekki að beina biðlurunum

VPN-hlið sem sendir biðlaraumferð áfram þarf meira en opið port. Það þarf IP-framsendingu, stefnu sem leyfir flæðið frá gönguviðmótinu að áfangarnetinu, og oft slökkt á uppsprettu-og-áfangaprófun á viðmótinu svo pallurinn hendi ekki umferð sem er ekki beint að honum. Ekkert af þessu er búið til af reglunni um hlustarann.

Hér skilja leiðir handaband sem virkar og brotin gagnaleið, og þess vegna getur staða gangs litið heilbrigð út á meðan ekkert hleðst.

Lagaðu leiðarstillinguna sem aðskilda breytingu með eigin sannprófun, og athugaðu að framsendandi hlið þarf líka útstefnu sem leyfir áfangann.

Haltu leið til baka, hertu síðan regluna

Áður en þú breytir eldveggsstefnu fjarri skaltu staðfesta að sjálfstæð stjórnleið sé til, svo sem lotustjóri, raðstjórnborð eða net utan bands. Ef eina stjórnleiðin liggur í gegnum regluna sem þú ert að breyta hefurðu enga endurheimt. Beittu þá þröngu reglunni, prófaðu frá raunverulegum biðlara og tengdu tilraunina við sönnunargögn á þjónshlið. Svar frá annarri þjónustu á sömu vél er ekki sönnun þess að hlustarinn hafi náðst.

Fjarlægðu allt tilraunakennt breitt leyfi um leið og það þrönga virkar, og skráðu hvers vegna reglan er til. AWS skjalfestir stöðuhelda hegðun öryggishópa, og það skjal er það sem vitna á í þegar einhver stingur upp á breiðu bili sem flýtileið.

Skjalfestu líka tenginguna, annars tapar staðgengilsviðmót stefnunni hljóðlaust.