AWS Client VPN эрежелери ресурска таандык, subnetке эмес

Кызматкерлер VPCдеги бир колдонмого жетүүсү керек жана ошол эле инстанстагы маалымат базасынын угуучусуна жетпеши керек, ошондуктан бирөө VPN endpoint үчүн экинчи коомдук subnet кошуп, талап аткарылды дейт. Subnetтин жайгашуусу маршруттоону жана жеткиликтүүлүктү өзгөртөт. Ал бир да портту бербейт же кармабайт. Талапты билдирген уруксат багыттоо жеринде, ресурстун коопсуздук тобунда жашайт, ал эми VPN чек арасы ошол эреже шилтеме кылган тутканы берет.

Subnetтин жайгашуусу — маршруттоо, авторизация эмес

Endpointтин тармактык бириктирүүсү кайда жайгашканы кайсы маршрут таблицасы кардар трафигин алып жүрөрүн жана кайсы жеткиликтүүлүк зоналары бузулуудан аман каларын аныктайт. Ал бул трафик кайсы инстанстын кайсы портуна жете алары тууралуу эч нерсе айтпайды. Бир subnetке бириктирилген эки кардар дагы эле бирдей булак идентификациясы менен келет, ал эми ресурс аларды subnet аты менен ажырата албайт.

Анын ордуна талаптан баштаңыз: ким чакырат, кайсы ресурс, кайсы кызмат порту жана кайсы багыт. Анан ушул төрт нерсени багыттоо жеринде билдире алган эреже модели тандаңыз. Бул ыкма адатта ашыкча subnetти долбоордон толугу менен алып салат.

Client VPN бириктирүү тобу — так ошол тутка

Subnetке бириктирилген AWS Client VPN endpoint үчүн документтелген тартип так. Көздөлгөн коопсуздук тобун endpointтин максаттуу тармак бириктирүүлөрүнө колдонуңуз, анан ошол Client VPN тобун булак катары колдонуп, ресурстун коопсуздук тобунда керектүү трафикке уруксат бериңиз.

Тактап айтканда, колдонмо инстансынын тобу бириктирүү тобунан колдонмо портуна уруксат берет, башка эч нерсеге жок. AWSтин ресурска кирүү процедурасы ушул байланышты сүрөттөйт жана endpoint бириктирилген ар бир subnetте ошол эле топ саясатын кармоо жөн, анткени башка топ менен эскирген бириктирүү чек араны үнсүз кеңейтет.

Бул эреже эч кимди аутентификация кылбайт. Кирүү — өзүнчө контролдун, ал эми ресурска барар жол — үчүнчүсү. Сурам келгенге чейин үчөө тең аткарылышы керек. Кайсынысы ийгиликсиз болсо, кайсы түзөтүү туура экенин ошол аныктайт, ал эми эрежени өзгөртүү биринчиси үчүн гана туура жооп.

Бир бириктирүү тобу ажырата албаган нерсе

Бир бириктирүү тобунун артындагы ар бир кардар ресурска бирдей коопсуздук тобунун булагы катары жетет. Ролдору ар башка эки колдонуучу ошол катмарда ажыратылбайт, топ кандай аталса да, кандай тегленсе да. Client VPNдин тышкы топ авторизациясы каталог же SAML тобу үчүн кирүүнү багыттоо префикси боюнча чектейт, бул ресурстун ролунан одоно жана аны идентификация системасы эмес, тармактык чек ара катары кароо керек.

Кененирээк айырмачылыктар колдонмого таандык. Кызматкерлердин көбү үчүн жабык болушу керек маалымат базасынын угуучусун топ мүчөлүгү тартиптүү болот деп үмүт кылгандан көрө, уруксат берилген префиксте такыр жеткиликсиз кылып коргоо жакшы.

Топтун атын өзгөртүү идентификация жаратпайт, ал эми аны ар бир команда үчүн көчүрүү текшериле турган бириктирүүлөрдү гана көбөйтөт.

Бул эрежени ар бир VPN долбооруна көчүрбөңүз

Өзүн өзү башкарган EC2 VPN дарбазасы, маршрутталган текшерүү түзмөгү жана башкарылуучу Client VPN — үч башка пакет жолу. Ресурска кайсы булак дареги чындыгында жетерин, жолдо которуу болорун жана кызмат ошол жолдо кайсы шилтеме механизмдерин колдойт экенин аныктаңыз.

Трафикти ортолук түзмөк аркылуу өткөрүү булактын коопсуздук тобуна шилтемени инстанстан инстанска түз трафик сыяктуу сактабайт. AWS документтейт: мындай долбоорлорго топ шилтемесинин ордуна тиешелүү жеке булак даректери же CIDR керек болушу мүмкүн. Башкарылуучу Client VPN процедурасы ар бир дарбазанын тиркелген тобу жөнөтүлгөн пакеттер үчүн универсалдуу идентификация белгиси катары иштээрин далилдебейт.

Жолдогу бир NAT секирик божомолду бузууга жетиштүү, ал эми бузулуу бар, бирок эч качан дал келбеген эрежеге окшойт.

Натыйжалуу чек араны карап чыгыңыз

Ресурска тиркелген ар бир коопсуздук тобун окуңуз, анткени уруксат эрежелери кошулат жана тар эреже башка топтогу кененирээк эрежени жокко чыгарбайт. Анан тармактык ACLди, хост файрволун жана колдонмонун өз авторизациясын текшериңиз, алар бөлөк каталар менен бөлөк катмарлар.

Ошол эле ресурска каршы бир уруксат берилген жана бир атайын чыгарылган сурам менен бүтүрүңүз. Бул жуп чек араны далилдейт, ал эми бир ийгиликтүү байланыш бир нерсенин ачык экенин гана далилдейт. Endpointти камтыган subnetти эмес, маршрутту, натыйжалуу булакты жана көздөлгөн кызмат портун ырастаңыз.

Иш тартиби: төрт бөлүктүү талапты жазыңыз, топту бириктирүүлөргө тиркеңиз, ресурс эрежесин порт менен чектеңиз, бир уруксат менен бир баш тартууну текшериңиз, ошондон кийин гана маршруттоо себептери менен subnetтерди бөлүүнү карап көрүңүз.