EC2-regla aðeins fyrir VPN: hver tengd öryggishópur verður að vera sammála

Þú bætir við einni innkomandi reglu fyrir VPN-biðlarahópinn, fjarlægir ekkert, og þjónustan er enn aðgengileg frá internetinu. Ekkert er bilað. Öryggishópur hefur enga yfirskrifun, forgang eða endanlega synjun sem þrönga reglan gæti sigrað gegn. Hver hópur sem er tengdur tilvikinu leggur sitt eigið leyfi til eins sameinaðs mengis, og breiða reglan sem þú gleymdir er enn í því mengi. Að gera tilvikið aðeins-VPN þýðir að endurskoða þau öll, ekki að bæta betur hljómandi reglu við eitt þeirra.

Skrifaðu þjónustuna niður áður en þú skrifar regluna

Byrjaðu á nákvæmum áfangastað, samskiptareglu og porti, og netviðmótinu sem þjónustan hlustar í raun á. Tilvik með nokkrum viðmótum eða nokkrum þjónustum á einu porti krefst endurskoðunar fyrir hvert viðmót, því tengdir hópar geta verið mismunandi. Ákvarðaðu síðan hvaða upprunaaðsetur þetta viðmót fær í raun fyrir VPN-notanda, í stað aðsetursins sem biðlarinn sýnir í eigin tengiglugga.

Þessi tvö aðsetur víkja oftar frá hvoru öðru en fólk á von á þegar þýðing og leiðsögn koma við sögu.

Þrjú upprunalíkön, þrjár mismunandi reglur

Með einkaleiðsögn fær tilvikið biðlarahópinn eða fyrirtækjasviðið, eftir því hvernig leiðin er leiðsögð og þýdd. Með opinberum endapunkti sem næst gegnum fyrirtækjaútgang sér tilvikið í staðinn fyrirtækja-NAT-aðsetur, og aðeins ef sá áfangastaður notar í raun VPN-leiðina, því skipt tunelling getur skilið hana eftir á heimanetstengingu. Með stýrðum Client VPN-endapunkti gildir skjalfesta líkanið um tengingu og marknet, og biðlaraaðsetrið kemur úr stilltu biðlara-CIDR.

Það sem virkar ekki er að vísa til VPN-gáttar sem uppruna öryggishóps. Hópvísanir passa við teygjanleg netviðmót innan VPC eða tengds nets, og gátt sem sendir pakka áfram er ekki eitt af þeim.

Lestu sameininguna yfir alla tengda hópa

Opnaðu tilvikið, finndu netviðmót þess og skráðu hvern öryggishóp sem er tengdur því. Fyrir hvern skaltu athuga hverja reglu sem nær yfir samskiptaregluna og portið þitt, þar á meðal breið portbil og báðar aðsetursfjölskyldur. IPv4-regla frá 0.0.0.0/0 leysir þig ekki undan því að athuga ::/0, og regla sem leyfir allan umferð felur portspurninguna algjörlega. Aðeins eftir þá skrá geturðu sagt hvað raunverulegt leyfi þjónustunnar er.

AWS-regluviðmiðið lýsir öryggishópum sem aðeins-leyfandi og segir að reglur allra tengdra hópa séu sameinaðar, og það er allt kerfið á bak við þessa bilun.

Net-ACL eru sérstök stefna án ástands með röðuðum leyfis- og synjunarfærslum, og þau eru metin á undirnetinu en ekki á tilvikinu.

Svaraðu ekki með synjunarmúr

Að bæta við undirnetsbreiðri NACL-synjun til að líkja eftir eldvegg sem þú ert vanur er rangt tæki og hættulegt. NACL-færslur eru raðaðar og án ástands, svo synjun sem sett er yfir núverandi leyfi brýtur hljóðlaust ótengda umferð, þar á meðal afturleiðina fyrir þær lotur sem þú reyndir að halda. Lagaðu breiða öryggishópsleyfið í hópnum sem á það, og láttu ACL-ið svo í friði nema það sé sannarlega hluti af hönnuninni.

Að fjarlægja opinbert aðsetur af tilvikinu er sterkari trygging, og það er líka arkitektúrbreyting með stjórnunarlegum og forritalegum afleiðingum, ekki haka á leyfislista.

Prófaðu með nýrri lotu og haltu inngönguleið

Áður en þú lætur af hvaða núverandi leyfi sem er, staðfestu samþykkta óháða stjórnunarleið, því reglan sem þú ert að fara að eyða gæti verið sú sem endurheimt lotunnar þinnar byggir á. Prófaðu svo nýja leyfða tengingu frá VPN og nýja synjaða tengingu frá leyfðri prófunarleið utan VPN. Núverandi raktar lotur lifa reglubreytingar af á þann hátt að gamlar opnar skeljar verða gagnslausar sem samþykkisgögn.

Að lokum skaltu halda eigin heimild forritsins á sínum stað. Þýddur fyrirtækjaútgangur getur táknað hundruð manna, og netaðgangur hefur aldrei greint einstakan notanda eða tæki hans.