VPN үшін бұлттық қауіпсіздік тобы: тыңдаушыны ашыңыз, бәрін емес

VPN сервері жұмыс істеп тұр, клиенттің уақыты бітіп жатыр, ал бірінші реакция — қауіпсіздік тобына бәріне рұқсат беретін ереже қосу. Кейде осыдан жұмыс істейді және бұл ең нашар нәтиже, өйткені енді қай шекараның шын мәнінде жабылғанын ешкім білмейді. Клиент пен демон арасында төрт бөлек сүзгі бар және олардың тек біреуі ғана қауіпсіздік тобы.

Ережеден бұрын протоколды атаңыз

Ереже — протокол, порт ауқымы және көз. WireGuard UDP арқылы тыңдайды, әдетте 51820. OpenVPN конфигурацияға қарай әдетте UDP немесе TCP 1194. IPsec-ке UDP 500 және 4500 порттарында IKE алмасуы, сондай-ақ ESP протоколының өзі қажет, ол порт емес, протокол нөмірі. Басқа ережелер TCP болғандықтан TCP деп болжау дұрыс көрінетін және ештеңеге сәйкес келмейтін ережеге әкеледі.

Тыңдаушыны оқулықтан емес, жұмыс істеп тұрған қызметтен оқыңыз. Бір мекенжайға байланған демон басқа мекенжайға келетін трафикті қабылдамайды.

Көзді бүкіл интернеттің орнына дизайн рұқсат ететін клиент ауқымымен шектеңіз.

Қауіпсіздік топтары күйді сақтайды; ішкі желі ACL-дері сақтамайды

Қауіпсіздік топтары күйді сақтайды және тек рұқсат береді: рұқсат етілген кіріс ағыны жауаптарын автоматты түрде алады және ойлануға тиіс бас тарту ережесі жоқ. Ішкі желі ACL-дері күйсіз және екі бағытта бағаланады, сондықтан сәйкес шығыс уақытша ауқымы жоқ кіріс рұқсаты бәрібір сәтсіз аяқталады. Бұл айырмашылық консольде дұрыс көрінетін көптеген ережелерді түсіндіреді.

Жұмыс істеп тұрған соңғы нүктеге қандай саясат тіркелгенін де растаңыз, өйткені данада бірнеше топ болуы мүмкін және тіркелмеген топтағы ереже ештеңені өзгертпейді.

Тиімді саясат — тіркелгеннің бірігуі, сіз өңдеген файл емес.

Хосттың брандмауэры бөлек шекара

Бұлт саясаты трафикті желілік интерфейске жібереді, содан кейін операциялық жүйе демонның оны көретінін шешеді. Әдепкіден бас тарту саясаты бар хост брандмауэры қауіпсіздік тобы рұқсат еткен пакетті тастайды және бұлт консолі ешқандай бас тартуды көрсетпейді, өйткені оның ешқашан пікірі болмаған. Екеуін де пакет оларға кездесетін ретпен тексеріңіз.

Егер хост дистрибутивтің брандмауэр алдыңғы жағын қолданса, профиль атауын емес, негізгі ережелерді растаңыз, өйткені профиль белсенді болуы мүмкін, ал порт жабық.

Интерфейстегі түсірілім қай шекараның пакетті тастағанын айтады.

Тыңдаушыға рұқсат беру клиенттерді маршруттау емес

Клиент трафигін қайта жіберетін VPN шлюзіне ашық порттан көбірек қажет. Оған IP қайта жіберу, туннель интерфейсінен мақсатты желіге ағынға рұқсат беретін саясат және көбіне интерфейсте өшірілген көз-мақсат тексеруі қажет, платформа өзіне арналмаған трафикті тастамас үшін. Мұның ешқайсысын тыңдаушы ережесі жасамайды.

Міне, осында жұмыс істейтін қол алысу мен бұзылған деректер жолы ажырайды, сондықтан туннель күйі сау көрінуі мүмкін, ал ештеңе жүктелмейді.

Маршруттауды өз тексеруі бар бөлек өзгеріс ретінде түзетіңіз және қайта жіберетін шлюзге мақсатқа рұқсат беретін шығыс саясаты да қажет екенін ескеріңіз.

Қайту жолын қалдырыңыз, содан кейін ережені тарылтыңыз

Қашықтағы брандмауэр саясатын өзгерту алдында тәуелсіз басқару жолының бар екенін растаңыз, мысалы сессия менеджері, сериялық консоль немесе жолақтан тыс желі. Егер жалғыз басқару жолы сіз өңдеп жатқан ереже арқылы өтсе, қалпына келтіру жолыңыз жоқ. Содан кейін тар ережені қолданыңыз, нақты клиенттен сынаңыз және әрекетті сервер жағындағы дәлелдермен байланыстырыңыз. Сол машинадағы басқа қызметтің жауабы тыңдаушыға жеткенін дәлелдемейді.

Тар рұқсат істеген бойда кез келген эксперименттік кең рұқсатты алып тастаңыз және ереженің не үшін бар екенін жазыңыз. AWS қауіпсіздік топтарының күй сақтайтын әрекетін құжаттайды және біреу қысқа жол ретінде кең ауқым ұсынғанда дәл осы құжатқа сілтеу керек.

Тіркеуді де құжаттаңыз, әйтпесе ауыстырушы интерфейс саясатты үнсіз жоғалтады.