EC2 үчүн VPN гана эреже: туташтырылган ар бир коопсуздук тобу макул болушу керек

Сиз VPN кардарлар пулу үчүн бир кирүү эрежесин кошосуз, эч нерсени жок кылбайсыз, бирок кызмат дагы эле интернеттен жеткиликтүү. Эч нерсе бузулган эмес. Коопсуздук тобунда тар эреже жеңе алган кайра аныктоо, артыкчылык же акыркы баш тартуу жок. Инстанска туташтырылган ар бир топ өз уруксаттарын бир бириктирилген топтомго кошот, жана сиз унутуп калган кенен эреже ошол топтомдо дагы бар. Инстансты VPN гана кылуу алардын баарын текшерүүнү билдирет, бирине жакшыраак угулган эреже кошууну эмес.

Эрежени жазганга чейин кызматты жазып алыңыз

Так багыттоо, протокол жана порттон, ошондой эле кызмат чындыгында угуучу тармактык интерфейстен баштаңыз. Бир нече интерфейси же бир портто бир нече кызматы бар инстанс үчүн текшерүү ар бир интерфейс боюнча жүргүзүлүшү керек, анткени туташтырылган топтор айырмаланышы мүмкүн. Андан кийин аныктаңыз ал интерфейс VPN колдонуучусу үчүн чындыгында кайсы булак дарегин алат, кардар өзүнүн туташуу терезесинде көрсөткөн даректи эмес.

Которуу жана маршруттоо киргенде бул эки дарек адамдар күткөндөн көп жолу айырмаланат.

Үч булак модел, үч башка эреже

Жеке маршрутталган кирүүдө инстанс кардарлар пулун же корпоративдик диапазонду алат, бул жолдун кантип маршрутталып, которулушуна жараша. Корпоративдик чыгуу аркылуу жеткиликтүү жарыя акыркы чекитте инстанс анын ордуна корпоративдик NAT дарегин көрөт, жана эгер ошол багыттоо чындыгында VPN жолун колдонсо гана, анткени бөлүнгөн туннелдөө аны үй туташуусунда калтырышы мүмкүн. Башкарылуучу Client VPN акыркы чекитинде документтелген байланыш жана максаттуу тармак модели колдонулат, ал эми кардар дареги конфигурацияланган кардар CIDRинен келет.

Иштебеген нерсе — VPN дарбазасын коопсуздук тобунун булагы катары көрсөтүү. Топ шилтемелери VPC же теңдеш тармактын ичиндеги ийкемдүү тармактык интерфейстерге туура келет, ал эми пакеттерди өткөрүп жаткан дарбаза алардын бири эмес.

Бардык туташтырылган топтор боюнча биригүүнү окуңуз

Инстансты ачыңыз, анын тармактык интерфейсин табыңыз жана ага туташтырылган ар бир коопсуздук тобун тизмелеңиз. Ар бири үчүн протоколуңузду жана портуңузду камтыган бардык эрежени текшериңиз, анын ичинде кенен порт диапазондору жана эки дарек үй-бүлөсү. 0.0.0.0/0 дарегинен келген IPv4 эрежеси сизди ::/0 текшерүүдөн бошотпойт, ал эми бардык трафикке уруксат берген эреже порт маселесин толугу менен жашырат. Ушул тизмеден кийин гана кызматтын натыйжалуу уруксаты эмне экенин айта аласыз.

AWS эрежелер шилтемеси коопсуздук топторун гана-уруксат берүүчү деп сүрөттөйт жана бардык туташтырылган топтордун эрежелери бириктирилет деп белгилейт, жана бул ушул ийгиликсиздиктин артындагы бүткүл механизм.

Тармактык ACLдер — иреттелген уруксат жана баш тартуу жазуулары бар өзүнчө, абалсыз саясат, жана алар инстанста эмес, ички тармакта бааланат.

Баш тартуу дубалы менен жооп бербеңиз

Көнүп калган фаерволду туураш үчүн ички тармак боюнча NACL баш тартуусун кошуу туура эмес курал жана кооптуу. NACL жазуулары иреттелген жана абалсыз, ошондуктан бар уруксаттын үстүнө коюлган баш тартуу байланышы жок трафикти, анын ичинде сактагыңыз келген сессиялардын кайтуу жолун, үнсүз бузат. Кенен коопсуздук топ уруксатын ага ээ болгон топто оңдоңуз, андан кийин ACL чындыгында долбоордун бөлүгү болбосо, ага тийбеңиз.

Инстанстан жарыя даректи алып салуу күчтүүрөөк кепилдик, жана бул административдик жана колдонмо натыйжалары бар архитектуралык өзгөртүү, уруксаттар тизмесиндеги белги эмес.

Жаңы сессия менен сынап көрүңүз жана кирүү жолун сактаңыз

Каалаган учурдагы уруксаттан баш тартпас мурун бекитилген көз карандысыз административдик жолду ырастаңыз, анткени жок кыла турган эрежеңиз сессияңызды калыбына келтирүү көз каранды болгон эреже болушу мүмкүн. Андан кийин VPNден жаңы уруксат берилген байланышты жана уруксат берилген VPN эмес сыноо жолунан жаңы баш тартылган байланышты сынаңыз. Учурдагы көзөмөлдөнгөн сессиялар эреже өзгөрүүлөрүнөн өтүп, эски ачык кабыктар кабыл алуу далили катары пайдасыз болуп калат.

Акырында, колдонмонун өзүнүн авторизациясын ордунда кармаңыз. Которулган корпоративдик чыгуу жүздөгөн адамды билдириши мүмкүн, ал эми тармакка кирүү эч качан жеке колдонуучуну же анын түзмөгүн аныктаган эмес.