EC2-ის წესი მხოლოდ VPN-ისთვის: ყველა მიმაგრებული უსაფრთხოების ჯგუფი უნდა შეთანხმდეს

თქვენ ამატებთ ერთ შემავალ წესს VPN კლიენტების პულისთვის, არაფერს შლით და სერვისი კვლავ ინტერნეტიდან მისაწვდომია. არაფერი გატეხილია. უსაფრთხოების ჯგუფს არ აქვს გადაფარვა, პრიორიტეტი ან საბოლოო უარი, რომლის წინააღმდეგაც ვიწრო წესი გაიმარჯვებდა. ინსტანსზე მიმაგრებული ყოველი ჯგუფი თავის ნებართვებს ერთ გაერთიანებულ სიმრავლეში შეაქვს, და თქვენ მიერ დავიწყებული ფართო წესი კვლავ იმ სიმრავლეშია. ინსტანსის მხოლოდ-VPN-ად ქცევა ნიშნავს ყველა მათგანის აუდიტს, და არა ერთზე უკეთ ჟღერადი წესის დამატებას.

ჩაწერეთ სერვისი, სანამ წესს დაწერთ

დაიწყეთ ზუსტი დანიშნულებით, პროტოკოლით და პორტით, და იმ ქსელური ინტერფეისით, რომელზეც სერვისი რეალურად უსმენს. რამდენიმე ინტერფეისის ან ერთ პორტზე რამდენიმე სერვისის მქონე ინსტანსს სჭირდება აუდიტი თითოეული ინტერფეისისთვის, რადგან მიმაგრებული ჯგუფები შეიძლება განსხვავდებოდეს. შემდეგ დაადგინეთ რომელ წყაროს მისამართს იღებს ეს ინტერფეისი რეალურად VPN მომხმარებლისთვის, და არა ის მისამართი, რომელსაც კლიენტი საკუთარი კავშირის ფანჯარაში აჩვენებს.

ეს ორი მისამართი უფრო ხშირად განსხვავდება, ვიდრე ადამიანები ელიან, როგორც კი თარგმანი და მარშრუტიზაცია ერთვება.

სამი წყაროს მოდელი, სამი განსხვავებული წესი

კერძო მარშრუტიზებული წვდომისას ინსტანსი იღებს კლიენტების პულს ან კორპორატიულ დიაპაზონს, იმის მიხედვით, თუ როგორ მარშრუტიზდება და ითარგმნება გზა. კორპორატიული გასასვლელით მიღწევად საჯარო ბოლო წერტილზე ინსტანსი სამაგიეროდ ხედავს კორპორატიულ NAT მისამართს, და მხოლოდ მაშინ, თუ ეს დანიშნულება ნამდვილად იყენებს VPN გზას, რადგან გაყოფილი გვირაბიზაცია შეიძლება სახლის კავშირზე დატოვოს. მართული Client VPN ბოლო წერტილისას მოქმედებს დოკუმენტირებული ასოციაციისა და სამიზნე ქსელის მოდელი, და კლიენტის მისამართი მოდის კონფიგურირებული კლიენტის CIDR-იდან.

რაც არ მუშაობს, არის VPN კარიბჭის მითითება უსაფრთხოების ჯგუფის წყაროდ. ჯგუფის მითითებები ემთხვევა ელასტიურ ქსელურ ინტერფეისებს VPC-ის ან დაწყვილებული ქსელის შიგნით, და პაკეტების გადამტანი კარიბჭე მათგან ერთი არ არის.

წაიკითხეთ გაერთიანება ყველა მიმაგრებულ ჯგუფში

გახსენით ინსტანსი, იპოვეთ მისი ქსელური ინტერფეისი და ჩამოთვალეთ მასზე მიმაგრებული ყოველი უსაფრთხოების ჯგუფი. თითოეულისთვის შეამოწმეთ ყოველი წესი, რომელიც ფარავს თქვენს პროტოკოლს და პორტს, მათ შორის ფართო პორტების დიაპაზონები და მისამართების ორივე ოჯახი. IPv4 წესი 0.0.0.0/0-დან არ გათავისუფლებთ ::/0-ის შემოწმებისგან, და ყველა ტრაფიკის დამშვები წესი მთლიანად მალავს პორტის საკითხს. მხოლოდ ამ ინვენტარიზაციის შემდეგ შეგიძლიათ თქვათ, რა არის სერვისის ეფექტური ნებართვა.

AWS-ის წესების ცნობარი აღწერს უსაფრთხოების ჯგუფებს როგორც მხოლოდ-დამშვებს და აცხადებს, რომ ყველა მიმაგრებული ჯგუფის წესები აგრეგირდება, და ეს არის მთელი მექანიზმი ამ მარცხის უკან.

ქსელური ACL-ები ცალკე, მდგომარეობის გარეშე პოლიტიკაა დალაგებული ნებისა და უარის ჩანაწერებით, და ისინი ფასდება ქვექსელზე და არა ინსტანსზე.

ნუ უპასუხებთ უარის კედლით

ქვექსელის მასშტაბის NACL უარის დამატება თქვენთვის ნაცნობი ფაირვოლის მიბაძვისთვის არასწორი ინსტრუმენტია და სარისკო. NACL ჩანაწერები დალაგებულია და მდგომარეობის გარეშე, ამიტომ არსებული ნების ზემოთ მოთავსებული უარი ჩუმად ამტვრევს დაუკავშირებელ ტრაფიკს, მათ შორის იმ სესიების დაბრუნების გზას, რომელთა შენარჩუნებასაც ცდილობდით. გაასწორეთ ფართო უსაფრთხოების ჯგუფის ნებართვა იმ ჯგუფში, რომელიც ფლობს მას, შემდეგ კი ACL-ს თავი დაანებეთ, თუ ის ნამდვილად დიზაინის ნაწილი არ არის.

საჯარო მისამართის ინსტანსიდან მოცილება უფრო ძლიერი გარანტიაა, და ეს ასევე არქიტექტურული ცვლილებაა ადმინისტრაციული და აპლიკაციური შედეგებით, და არა ნებართვების სიაში არსებული მოსამზადებელი უჯრა.

გამოსცადეთ ახალი სესიით და შეინარჩუნეთ შესვლის გზა

სანამ რომელიმე არსებულ ნებართვას გააუქმებთ, დაადასტურეთ დამტკიცებული დამოუკიდებელი ადმინისტრაციული გზა, რადგან წესი, რომლის წაშლასაც აპირებთ, შეიძლება იყოს ის, რომელზეც თქვენი სესიის აღდგენაა დამოკიდებული. შემდეგ გამოსცადეთ ახალი დაშვებული კავშირი VPN-იდან და ახალი უარყოფილი კავშირი დაშვებული არა-VPN სატესტო გზიდან. არსებული თვალთვალის ქვეშ მყოფი სესიები გადაიტანს წესების ცვლილებებს ისე, რომ ძველი ღია ჭურვები მიღების მტკიცებულებად უსარგებლო ხდება.

და ბოლოს, შეინარჩუნეთ თავად აპლიკაციის ავტორიზაცია ადგილზე. თარგმნილი კორპორატიული გასასვლელი შეიძლება წარმოადგენდეს ასობით ადამიანს, და ქსელში შესვლას არასოდეს ამოუცნია ცალკეული მომხმარებელი ან მისი მოწყობილობა.