EC2 taisyklė tik VPN: kiekviena prijungta saugos grupė turi sutikti

Pridedate vieną įeinančią taisyklę VPN klientų grupei, nieko nepašalinate, o paslauga vis dar pasiekiama iš interneto. Niekas nesugedę. Saugos grupė neturi jokio nepaisymo, prioriteto ar galutinio draudimo, prieš kurį siaura taisyklė galėtų laimėti. Kiekviena prie instancijos prijungta grupė prisideda savo leidimus prie vieno sujungto rinkinio, ir pamiršta plati taisyklė vis dar yra tame rinkinyje. Paversti instanciją tik-VPN reiškia auditą visų jų, o ne geresnį skambantį taisyklės pridėjimą vienai.

Užsirašykite paslaugą prieš rašydami taisyklę

Pradėkite nuo tikslios paskirties, protokolo ir prievado, taip pat tinklo sąsajos, kurioje paslauga iš tikrųjų klausosi. Instancija su keliomis sąsajomis arba keliomis paslaugomis viename prievade reikalauja audito kiekvienai sąsajai, nes prijungtos grupės gali skirtis. Tada nustatykite kokį šaltinio adresą ta sąsaja iš tikrųjų gauna VPN naudotojui, o ne adresą, kurį klientas rodo savo prisijungimo lange.

Šie du adresai išsiskiria dažniau, nei žmonės tikisi, kai įsitraukia vertimas ir maršrutizavimas.

Trys šaltinio modeliai, trys skirtingos taisyklės

Su privačia maršrutizuota prieiga instancija gauna klientų grupę arba įmonės diapazoną, priklausomai nuo to, kaip maršrutas maršrutizuojamas ir verčiamas. Su viešuoju galiniu tašku, pasiekiamu per įmonės išėjimą, instancija vietoj to mato įmonės NAT adresą, ir tik jei ta paskirtis iš tikrųjų naudoja VPN kelią, nes skaidytas tuneliavimas gali palikti jį namų ryšyje. Su valdomu Client VPN galiniu tašku taikomas dokumentuotas susiejimo ir tikslinio tinklo modelis, o kliento adresas gaunamas iš sukonfigūruoto kliento CIDR.

Tai, kas neveikia, yra VPN šliuzo nurodymas kaip saugos grupės šaltinis. Grupių nuorodos atitinka elastines tinklo sąsajas VPC arba sujungtame tinkle, o šliuzas, kuris persiunčia paketus, nėra vienas iš jų.

Perskaitykite junginį visose prijungtose grupėse

Atidarykite instanciją, raskite jos tinklo sąsają ir išvardykite kiekvieną su ja sujungtą saugos grupę. Kiekvienai patikrinkite kiekvieną taisyklę, apimančią jūsų protokolą ir prievadą, įskaitant plačius prievadų diapazonus ir abi adresų šeimas. IPv4 taisyklė iš 0.0.0.0/0 neatleidžia jūsų nuo ::/0 patikros, o taisyklė, leidžianti visą srautą, visiškai paslepia prievado klausimą. Tik po šio inventorizavimo galite pasakyti, koks yra efektyvus paslaugos leidimas.

AWS taisyklių nuoroda apibūdina saugos grupes kaip tik-leidžiančias ir nurodo, kad visų prijungtų grupių taisyklės yra agreguojamos, ir tai yra visas mechanizmas, slypintis už šios nesėkmės.

Tinklo ACL yra atskira, bevalė politika su išdėstytomis leidimo ir draudimo eilutėmis, ir jos vertinamos potinklyje, o ne instancijoje.

Neatsakykite draudimų siena

Potinklio mastu NACL draudimo pridėjimas, siekiant imituoti įprastą ugniasienę, yra netinkamas įrankis ir rizikingas. NACL eilutės yra išdėstytos ir bevalės, todėl draudimas, uždėtas virš esamo leidimo, tyliai sugriauna nesusijusį srautą, įskaitant grįžimo kelią sesijoms, kurias bandėte išsaugoti. Ištaisykite platų saugos grupės leidimą grupėje, kuriai jis priklauso, tada palikite ACL ramybėje, nebent jis tikrai yra dizaino dalis.

Viešo adreso pašalinimas iš instancijos yra stipresnė garantija, ir tai taip pat architektūrinis pakeitimas su administracinėmis ir taikomosiomis pasekmėmis, o ne žymės langelis leidimų sąraše.

Testuokite su nauja sesija ir pasilikite kelią į vidų

Prieš atsisakydami bet kurio esamo leidimo, patvirtinkite patvirtintą nepriklausomą administravimo kelią, nes taisyklė, kurią ketinate ištrinti, gali būti ta, nuo kurios priklauso jūsų sesijos atkūrimas. Tada išbandykite naują leidžiamą ryšį iš VPN ir naują atmestą ryšį iš patvirtinto ne VPN bandomojo kelio. Esamos stebimos sesijos išgyvena taisyklių pakeitimus taip, kad seni atviri apvalkalai tampa nenaudingi kaip priėmimo įrodymas.

Galiausiai palikite pačios programos autorizaciją vietoje. Išverstas įmonės išėjimas gali atstovauti šimtams žmonių, o tinklo priėmimas niekada neatpažino atskiro naudotojo ar jo įrenginio.