VPN үчүн булуттук коопсуздук тобу: угуучуну ачыңыз, баарын эмес

VPN сервери иштеп жатат, кардардын убактысы бүтүп жатат, жана биринчи реакция — коопсуздук тобуна баарына уруксат берген эрежени кошуу. Кээде ушундан иштейт жана бул эң жаман жыйынтык, анткени эми кайсы чек чындыгында жабылганын эч ким билбейт. Кардар менен демондун ортосунда төрт өзүнчө чыпка бар жана алардын бирөө гана коопсуздук тобу.

Эрежеден мурун протоколду атаңыз

Эреже — протокол, порт диапазону жана булак. WireGuard UDP аркылуу угат, адатта 51820. OpenVPN конфигурацияга жараша адатта UDP же TCP 1194. IPsecке UDP 500 жана 4500 портторунда IKE алмашуу, ошондой эле ESP протоколунун өзү керек, ал порт эмес, протокол номери. Башка эрежелер TCP болгондуктан TCP деп болжолдоо туура көрүнгөн жана эч нерсеге дал келбеген эрежеге алып келет.

Угуучуну окуу куралынан эмес, иштеп жаткан кызматтан окуңуз. Бир дарекке байланган демон башка дарекке келген трафикти кабыл албайт.

Булакты бүт интернеттин ордуна долбоор уруксат берген кардар диапазону менен чектеңиз.

Коопсуздук топтору абалды сактайт; ички тармактын ACL эрежелери сактабайт

Коопсуздук топтору абалды сактайт жана гана уруксат берет: уруксат берилген кирүү агымы жоопторун автоматтык түрдө алат жана ойлонууга тийиш баш тартуу эрежеси жок. Ички тармактын ACL эрежелери абалсыз жана эки багытта бааланат, ошондуктан тиешелүү чыгуу убактылуу диапазону жок кирүү уруксаты баары бир ишке ашпайт. Бул айырма консолдо туура көрүнгөн көп эрежелерди түшүндүрөт.

Иштеп жаткан акыркы чекитке кайсы саясат байланганын да ырастаңыз, анткени инстанстын бирден көп тобу болушу мүмкүн жана байланбаган топтогу эреже эч нерсени өзгөртпөйт.

Натыйжалуу саясат — байлангандардын биригиши, сиз түзөткөн файл эмес.

Хосттун брандмауэри өзүнчө чек

Булут саясаты трафикти тармактык интерфейске чейин өткөрөт, андан кийин операциялык система демон аны көрөбү-көрбөйбү деп чечет. Демейки баш тартуу саясаты бар хост брандмауэри коопсуздук тобу уруксат берген пакетти таштайт жана булут консолу эч кандай баш тартууну көрсөтпөйт, анткени анын эч качан пикири болгон эмес. Экөөнү тең пакет аларга жолуккан тартипте текшериңиз.

Эгер хост дистрибутивдин брандмауэр алдыңкы бөлүгүн колдонсо, профилдин атын эмес, негизги эрежелерди ырастаңыз, анткени профил активдүү болушу мүмкүн, ал эми порт жабык.

Интерфейстеги жазуу кайсы чек пакетти таштаганын айтат.

Угуучуга уруксат берүү кардарларды маршруттоо эмес

Кардарлардын трафигин өткөрүп берген VPN дарбазасына ачык порттон көбүрөөк керек. Ага IP өткөрүү, туннелдин интерфейсинен максаттуу тармакка агымга уруксат берген саясат, жана көбүнчө интерфейсте өчүрүлгөн булак-максат текшерүү керек, платформа өзүнө даректүү эмес трафикти таштабашы үчүн. Булардын эч бирин угуучу эрежеси жаратпайт.

Мына ушунда иштеген кол алышуу менен бузулган маалымат жолу бөлүнөт, ошондуктан туннелдин абалы соо көрүнүшү мүмкүн, ал эми эч нерсе жүктөлбөйт.

Маршруттоону өз текшерүүсү бар өзүнчө өзгөртүү катары оңдоп, өткөрүп берген дарбазага максатты уруксат берген чыгуу саясаты да керек экенин белгилеңиз.

Кайтуу жолун калтырыңыз, анан эрежени тар ченемдеңиз

Алыскы брандмауэр саясатын өзгөртүүдөн мурун көз карандысыз башкаруу жолу бар экенин ырастаңыз, мисалы сессия менеджери, сериялык консоль же тилкеден тышкаркы тармак. Эгер жалгыз башкаруу жолу сиз түзөтүп жаткан эрежеден өтсө, калыбына келтирүү жолуңуз жок. Андан кийин тар эрежени колдонуп, чыныгы кардардан сынап, аракетти сервер тараптагы далилдер менен байланыштырыңыз. Ошол эле машинадагы башка кызматтын жообу угуучуга жеткенин далилдебейт.

Тар уруксат иштегенден кийин кандайдыр бир эксперименталдык кенен уруксатты алып салыңыз жана эреже эмне үчүн бар экенин жазыңыз. AWS коопсуздук топторунун абалды сактаган жүрүм-турумун документтештирет жана бирөө кыска жол катары кенен диапазон сунуштаганда дал ошол документке шилтеме кылуу керек.

Байлоону да документтештириңиз, болбосо алмаштыруучу интерфейс саясатты үнсүз жоготот.