EC2 ережесі тек VPN үшін: қосылған әрбір қауіпсіздік тобы келісуі керек

Сіз VPN клиенттері пулы үшін бір кіріс ережесін қосасыз, ешнәрсе жоймайсыз, бірақ қызмет әлі де интернеттен қолжетімді. Ештеңе бұзылмаған. Қауіпсіздік тобында тар ереже жеңе алатын қайта анықтау, басымдық немесе соңғы бас тарту жоқ. Данаға қосылған әрбір топ өз рұқсаттарын бір біріктірілген жиынға қосады, және сіз ұмытқан кең ереже сол жиында әлі бар. Дананы тек-VPN ету олардың барлығын тексеруді білдіреді, біреуіне жақсырақ естілетін ереже қосуды емес.

Ережені жазбас бұрын қызметті жазып алыңыз

Нақты межелі орыннан, протокол мен порттан, сондай-ақ қызмет шынымен тыңдайтын желілік интерфейстен бастаңыз. Бірнеше интерфейсі немесе бір портта бірнеше қызметі бар дана үшін тексеру әр интерфейс бойынша жүргізілуі керек, өйткені қосылған топтар өзгеше болуы мүмкін. Содан кейін анықтаңыз сол интерфейс VPN пайдаланушысы үшін шын мәнінде қандай бастауыш мекенжай алады, клиент өзінің қосылым терезесінде көрсететін мекенжайды емес.

Аудару мен маршруттау іске қосылғанда бұл екі мекенжай адамдар күткеннен жиірек алшақтайды.

Үш көз үлгісі, үш түрлі ереже

Жеке маршрутталған қатынаста дана клиенттер пулын немесе корпоративтік ауқымды алады, бұл жолдың қалай маршрутталып, аударылатынына байланысты. Корпоративтік шығыс арқылы қол жеткізілетін жария соңғы нүктеде дана оның орнына корпоративтік NAT мекенжайын көреді, және тек сол межелі орын VPN жолын шынымен пайдаланса, өйткені бөлінген туннельдеу оны үй қосылымында қалдыруы мүмкін. Басқарылатын Client VPN соңғы нүктесінде құжатталған байланыс және мақсатты желі үлгісі қолданылады, ал клиент мекенжайы конфигурацияланған клиент CIDR-інен келеді.

Жұмыс істемейтіні — VPN шлюзін қауіпсіздік тобының көзі ретінде сілтеу. Топ сілтемелері VPC немесе теңдестірілген желі ішіндегі серпімді желілік интерфейстерге сәйкес келеді, ал пакеттерді жіберетін шлюз олардың бірі емес.

Барлық қосылған топтар бойынша біріктіруді оқыңыз

Дананы ашыңыз, оның желілік интерфейсін табыңыз және оған қосылған әрбір қауіпсіздік тобын тізімдеңіз. Әрқайсысы үшін протоколыңыз бен портыңызды қамтитын барлық ережені тексеріңіз, оның ішінде кең порт ауқымдары мен мекенжайлардың екі тобы. 0.0.0.0/0-ден келген IPv4 ережесі сізді ::/0-ді тексеруден босатпайды, ал барлық трафикке рұқсат беретін ереже порт мәселесін толығымен жасырады. Осы түгендеуден кейін ғана қызметтің нақты рұқсаты қандай екенін айта аласыз.

AWS ережелер анықтамасы қауіпсіздік топтарын тек-рұқсат ететін деп сипаттайды және барлық қосылған топтардың ережелері біріктірілетінін айтады, және бұл осы сәтсіздіктің артындағы бүкіл механизм.

Желілік ACL-дер — реттелген рұқсат және бас тарту жазбалары бар жеке, күйсіз саясат, және олар данада емес, ішкі желіде бағаланады.

Бас тарту қабырғасымен жауап бермеңіз

Әдеттегі тұмсық қабырғаны имитациялау үшін ішкі желі бойынша NACL бас тартуын қосу дұрыс емес құрал және қауіпті. NACL жазбалары реттелген және күйсіз, сондықтан бар рұқсаттың үстіне қойылған бас тарту байланысы жоқ трафикті, соның ішінде сақтағыңыз келген сессиялардың қайту жолын, үнсіз бұзады. Кең қауіпсіздік тобының рұқсатын оған ие топта түзетіңіз, содан кейін ACL-ді шынымен дизайнның бөлігі болмаса, тыныш қалдырыңыз.

Данадан жария мекенжайды алып тастау неғұрлым күшті кепілдік, және бұл әкімшілік және қолданбалық салдарлары бар сәулеттік өзгеріс, рұқсаттар тізіміндегі құсбелгі емес.

Жаңа сессиямен сынап көріңіз және кіру жолын сақтаңыз

Кез келген бар рұқсаттан бас тартпас бұрын бекітілген тәуелсіз әкімшілік жолды растаңыз, өйткені жоятын ережеңіз сессияны қалпына келтіру тәуелді болатын ереже болуы мүмкін. Содан кейін VPN-нен жаңа рұқсат етілген қосылымды және рұқсат етілген VPN емес сынақ жолынан жаңа бас тартылған қосылымды сынаңыз. Бар қадағаланатын сессиялар ереже өзгерістерін өтіп, ескі ашық қабықтар қабылдау дәлелі ретінде пайдасыз болады.

Соңында, қолданбаның өз авторизациясын орнында ұстаңыз. Аударылған корпоративтік шығыс жүздеген адамды білдіруі мүмкін, ал желіге кіру жеке пайдаланушыны немесе оның құрылғысын ешқашан анықтаған емес.