Debesų saugumo grupė VPN: atidarykite klausytuvą, o ne viską

VPN serveris veikia, klientas sulaukia laiko limito pabaigos, o pirmasis instinktas – pridėti prie saugumo grupės taisyklę, leidžiančią viską. Kartais tai padeda, ir tai yra blogiausias rezultatas, nes dabar niekas nežino, kuri riba iš tikrųjų buvo uždaryta. Tarp kliento ir demono yra keturi atskiri filtrai, ir tik vienas jų yra saugumo grupė.

Įvardykite protokolą prieš taisyklę

Taisyklė yra protokolas, prievadų diapazonas ir šaltinis. WireGuard klausosi UDP, paprastai 51820. OpenVPN paprastai yra UDP arba TCP 1194, priklausomai nuo konfigūracijos. IPsec reikia IKE mainų UDP 500 ir 4500 bei paties ESP protokolo, kuris yra protokolo numeris, o ne prievadas. Spėlioti TCP, nes kitos taisyklės yra TCP, reiškia gauti taisyklę, kuri atrodo teisingai ir nieko neatitinka.

Klausytuvą skaitykite iš veikiančios tarnybos, o ne iš mokymo. Prie vieno adreso pririštas demonas nepriims eismo, ateinančio kitu adresu.

Apribokite šaltinį projektu leidžiamu klientų diapazonu, o ne visu internetu.

Saugumo grupės išlaiko būseną; potinklio ACL – ne

Saugumo grupės išlaiko būseną ir tik leidžia: leidžiamas įeinantis srautas atsakymus gauna automatiškai, ir nėra atmetimo taisyklės, apie kurią reikėtų galvoti. Potinklio ACL būsenos neišlaiko ir vertinami abiem kryptimis, todėl įeinantis leidimas be atitinkamo išeinančio laikino diapazono vis tiek nepavyksta. Šis skirtumas paaiškina daug taisyklių, kurios konsolėje atrodo teisingai.

Taip pat patvirtinkite, kuri politika pritvirtinta prie veikiančio galinio taško, nes egzempliorius gali turėti daugiau nei vieną grupę, o nepritvirtintos grupės taisyklė nieko nekeičia.

Veiksminga politika yra pritvirtintų dalykų sąjunga, o ne failas, kurį redagavote.

Prieglobos ugniasienė yra atskira riba

Debesų politika praleidžia eismą iki tinklo sąsajos, o tada operacinė sistema nusprendžia, ar demonas jį matys. Prieglobos ugniasienė su numatytąja atmetimo politika numes paketą, kurį saugumo grupė leido, o debesų konsolė nerodys jokio atmetimo, nes ji niekada neturėjo nuomonės. Patikrinkite abu ta tvarka, kuria paketas juos sutinka.

Jei priegloba naudoja platinimo ugniasienės sąsają, patvirtinkite pagrindines taisykles, o ne profilio pavadinimą, nes profilis gali būti aktyvus, kai prievadas uždarytas.

Užfiksavimas sąsajoje pasako, kuri riba numetė paketą.

Leisti klausytuvą nereiškia maršrutizuoti klientus

VPN šliuzas, persiunčiantis klientų eismą, turi turėti daugiau nei atvirą prievadą. Reikia IP persiuntimo, politikos, leidžiančios srautą iš tunelio sąsajos į tikslinį tinklą, ir dažnai sąsajoje išjungto šaltinio ir tikslo patikrinimo, kad platforma neatmestų eismo, neskirto jai. Niekas iš to nėra sukuriama klausytuvo taisyklės.

Čia išsiskiria veikiantis rankos paspaudimas ir sugedęs duomenų kelias, ir todėl tunelio būsena gali atrodyti sveika, kai niekas nesikrauna.

Taisykite maršrutizavimą kaip atskirą pakeitimą su savo patikra ir atkreipkite dėmesį, kad persiunčiančiam šliuzui taip pat reikia išėjimo politikos, leidžiančios tikslą.

Palikite kelią atgal, tada susiaurinkite taisyklę

Prieš keisdami nuotolinę ugniasienės politiką, patvirtinkite, kad yra nepriklausomas valdymo kelias, pavyzdžiui, sesijų tvarkyklė, nuoseklioji konsolė ar už juostos esantis tinklas. Jei vienintelis valdymo kelias eina per taisyklę, kurią redaguojate, atkūrimo neturite. Tada pritaikykite siaurą taisyklę, išbandykite iš tikro kliento ir susiekite bandymą su serverio pusės įrodymais. Kitos paslaugos atsakymas toje pačioje mašinoje nėra įrodymas, kad klausytuvas pasiektas.

Pašalinkite bet kokį eksperimentinį platų leidimą, kai tik siaurasis pradeda veikti, ir pažymėkite, kodėl taisyklė egzistuoja. AWS dokumentuoja saugumo grupių būsenos išlaikymo elgseną, ir būtent šis dokumentas cituojamas, kai kas nors siūlo platų diapazoną kaip trumpą kelią.

Dokumentuokite ir priskyrimą, kitaip pakaitinė sąsaja tyliai praras politiką.