AWS Client VPN ережелері ресурсқа тиесілі, subnet-ке емес

Қызметкерлер VPC-дегі бір қолданбаға жетуі керек және сол инстанстағы дерекқор тыңдаушысына жетпеуі тиіс, сондықтан біреу VPN endpoint үшін екінші жалпы subnet қосады да, талапты орындалды дейді. Subnet орналасуы маршруттауды және қолжетімділікті өзгертеді. Ол бірде-бір портты бермейді немесе алып қоймайды. Талапты білдіретін рұқсат межелі жерде, ресурстың қауіпсіздік тобында тұрады, ал VPN шекарасы сол ереже сілтейтін тұтқаны береді.

Subnet орналасуы — маршруттау, авторизация емес

Endpoint-тің желілік біріктіруі қайда орналасқаны клиент трафигін қай маршрут кестесі таситынын және қай қолжетімділік аймақтары ақаудан аман қалатынын анықтайды. Ол бұл трафиктің қай инстанстың қай портына жете алатыны туралы ештеңе айтпайды. Бір subnet-ке біріктірілген екі клиент әлі де бірдей көз идентификациясымен келеді, ал ресурс оларды subnet атымен ажырата алмайды.

Оның орнына талаптан бастаңыз: кім шақырады, қай ресурс, қай қызмет порты және қай бағыт. Содан кейін осы төрт нәрсені межелі жерде білдіре алатын ереже моделін таңдаңыз. Бұл тәсіл әдетте артық subnet-ті жобадан толығымен алып тастайды.

Client VPN біріктіру тобы — дәл сол тұтқа

Subnet-ке біріктірілген AWS Client VPN endpoint үшін құжатталған тәртіп нақты. Көзделген қауіпсіздік тобын endpoint-тің мақсатты желі біріктірулеріне қолданыңыз, содан кейін сол Client VPN тобын көз ретінде пайдаланып, ресурстың қауіпсіздік тобында қажетті трафикке рұқсат беріңіз.

Нақтырақ айтсақ, қолданба инстансының тобы біріктіру тобынан қолданба портына рұқсат береді, басқа ештеңеге жоқ. AWS-тің ресурсқа қатынау процедурасы осы қатынасты сипаттайды, және endpoint біріктірілетін әр subnet-те бірдей топ саясатын ұстаған жөн, өйткені басқа топпен ескірген біріктіру шекараны үнсіз кеңейтеді.

Бұл ереже ешкімді аутентификацияламайды. Кіру — жеке бақылау, ал ресурсқа барар жол — үшіншісі. Сұраныс келмес бұрын үшеуі де орындалуы керек. Қайсысы сәтсіз болса, қай түзетудің дұрыс екенін сол анықтайды, ал ережені өзгерту тек біріншісі үшін дұрыс жауап.

Бір біріктіру тобы ажырата алмайтын нәрсе

Бір біріктіру тобының артындағы әр клиент ресурсқа бірдей қауіпсіздік тобының көзі ретінде жетеді. Рөлдері әртүрлі екі пайдаланушы сол қабатта ажыратылмайды, топ қалай аталса да, қалай тегтелсе де. Client VPN-нің сыртқы топ авторизациясы каталог немесе SAML тобы үшін қатынауды межелі префикс бойынша шектейді, бұл ресурс рөлінен өрескел және оны идентификация жүйесі емес, желілік шекара ретінде қарастыру керек.

Неғұрлым нәзік айырмашылықтар қолданбаға тән. Қызметкерлердің көпшілігі үшін жабық болуы керек дерекқор тыңдаушысын топ мүшелігі ретті болып қалады деп үміттенгеннен гөрі, рұқсат етілген префиксте мүлдем қолжетімсіз етіп қорғаған жақсы.

Топтың атын өзгерту идентификация жасамайды, ал оны әр командаға көшіру тексерілетін біріктірулерді ғана көбейтеді.

Бұл ережені әр VPN жобасына көшірмеңіз

Өзін-өзі басқаратын EC2 VPN қақпасы, маршрутталған тексеру құрылғысы және басқарылатын Client VPN — үш түрлі пакет жолы. Ресурсқа қай көз мекенжайы нақты жететінін, жолда түрлендіру болатынын және қызмет сол жолда қандай сілтеме механизмдерін қолдайтынын анықтаңыз.

Трафикті аралық құрылғы арқылы өткізу көздің қауіпсіздік тобына сілтемені инстанстан инстансқа тікелей трафик сияқты сақтамайды. AWS құжаттайды: мұндай жобаларға топ сілтемесінің орнына тиісті жеке көз мекенжайлары немесе CIDR қажет болуы мүмкін. Басқарылатын Client VPN процедурасы әр қақпаның тіркелген тобы жіберілетін пакеттер үшін әмбебап идентификация белгісі ретінде жұмыс істейтініне дәлел емес.

Жолдағы бір NAT секірісі болжамды бұзуға жеткілікті, ал ақау бар, бірақ ешқашан сәйкес келмейтін ережеге ұқсайды.

Тиімді шекараны қарап шығыңыз

Ресурсқа тіркелген әр қауіпсіздік тобын оқыңыз, өйткені рұқсат ережелері қосылады және тар ереже басқа топтағы кеңірек ережені жоймайды. Содан кейін желілік ACL-ді, хост файрволын және қолданбаның өз авторизациясын тексеріңіз, олар бөлек қателері бар бөлек қабаттар.

Сол ресурсқа қарсы бір рұқсат етілген және бір әдейі алып тасталған сұраныспен аяқтаңыз. Бұл жұп шекараны дәлелдейді, ал бір сәтті қосылым тек бірдеңенің ашық екенін дәлелдейді. Endpoint-ті қамтитын subnet-ті емес, маршрутты, тиімді көзді және көзделген қызмет портын растаңыз.

Жұмыс тәртібі: төрт бөлікті талапты жазыңыз, топты біріктірулерге тіркеңіз, ресурс ережесін портпен шектеңіз, бір рұқсат пен бір бас тартуды тексеріңіз, содан кейін ғана маршруттау себептерімен subnet-терді бөлуді қарастырыңыз.