Gruppo di sicurezza cloud per una VPN: aprire l'ascolto, non tutto

Il server VPN è in esecuzione, il client va in timeout e il primo istinto è aggiungere al gruppo di sicurezza una regola che consente tutto. A volte questo lo fa funzionare, ed è il risultato peggiore, perché ora nessuno sa quale confine sia stato davvero chiuso. Quattro filtri separati stanno tra il client e il demone, e solo uno di essi è il gruppo di sicurezza.

Nomina il protocollo prima della regola

Una regola è un protocollo, un intervallo di porte e un'origine. WireGuard ascolta su UDP, di solito 51820. OpenVPN è di solito UDP o TCP 1194 a seconda della configurazione. IPsec richiede lo scambio IKE su UDP 500 e 4500 oltre al protocollo ESP stesso, che è un numero di protocollo e non una porta. Indovinare TCP perché le altre regole sono TCP è il modo in cui si ottiene una regola che sembra corretta e non corrisponde a nulla.

Leggi l'ascolto dal servizio in esecuzione, non da un tutorial. Un demone legato a un indirizzo non accetterà traffico che arriva su un altro.

Limita l'origine all'intervallo di client che il progetto consente, invece che a tutta Internet.

I gruppi di sicurezza sono con stato; le ACL di sottorete no

I gruppi di sicurezza sono con stato e solo permissivi: un flusso in entrata consentito riceve le risposte automaticamente, e non c'è alcuna regola di rifiuto su cui ragionare. Le ACL di sottorete sono senza stato e valutate in entrambe le direzioni, quindi un permesso in entrata senza l'intervallo effimero in uscita corrispondente fallisce comunque. Questa differenza spiega molte regole che sembrano corrette nella console.

Verifica anche quale politica è collegata all'endpoint in esecuzione, poiché un'istanza può avere più di un gruppo e una regola in un gruppo non collegato non cambia nulla.

La politica effettiva è l'unione di ciò che è collegato, non il file che hai modificato.

Il firewall dell'host è un confine separato

La politica cloud ammette il traffico verso l'interfaccia di rete, poi il sistema operativo decide se il demone lo vede. Un firewall dell'host con politica di rifiuto predefinita scarterà un pacchetto che il gruppo di sicurezza aveva consentito, e la console cloud non mostrerà alcun rifiuto perché non ha mai avuto un parere. Controlla entrambi, nell'ordine in cui il pacchetto li incontra.

Se l'host usa un frontend del firewall della distribuzione, verifica le regole sottostanti invece del nome del profilo, perché un profilo può essere attivo mentre la porta è chiusa.

Una cattura sull'interfaccia ti dice quale confine ha scartato il pacchetto.

Ammettere l'ascolto non è instradare i client

Un gateway VPN che inoltra il traffico dei client ha bisogno di più di una porta aperta. Serve l'inoltro IP, una politica che consenta il flusso dall'interfaccia del tunnel alla rete di destinazione e spesso il controllo origine-destinazione disattivato sull'interfaccia, così la piattaforma non scarta traffico non indirizzato a essa. Nulla di questo è creato dalla regola di ascolto.

Qui si separano una stretta di mano funzionante e un percorso dati rotto, ed è per questo che lo stato di un tunnel può sembrare sano mentre non carica nulla.

Correggi l'instradamento come modifica separata con la sua verifica, e nota che un gateway che inoltra ha bisogno anche di una politica in uscita che consenta la destinazione.

Mantieni una via di ritorno, poi restringi la regola

Prima di modificare la politica del firewall remoto, conferma che esista un percorso di gestione indipendente, come un gestore di sessioni, una console seriale o una rete fuori banda. Se l'unico percorso di gestione passa dalla regola che stai modificando, non hai recupero. Poi applica la regola stretta, prova da un client reale e correla il tentativo con prove lato server. Una risposta di un altro servizio sulla stessa macchina non è prova che l'ascolto sia stato raggiunto.

Rimuovi qualsiasi autorizzazione ampia sperimentale appena quella stretta funziona, e annota perché la regola esiste. AWS documenta il comportamento con stato dei gruppi di sicurezza, e quel documento è quello da citare quando qualcuno propone un intervallo ampio come scorciatoia.

Documenta anche il collegamento, altrimenti un'interfaccia sostitutiva perderà la politica in silenzio.