Mākoņa drošības grupa VPN: atveriet klausītāju, nevis visu

VPN serveris darbojas, klientam beidzas taimauts, un pirmā doma ir pievienot drošības grupai noteikumu, kas atļauj visu. Dažkārt tas liek tam strādāt, un tas ir sliktākais iznākums, jo tagad neviens nezina, kura robeža patiešām tika aizvērta. Starp klientu un dēmonu atrodas četri atsevišķi filtri, un tikai viens no tiem ir drošības grupa.

Nosauciet protokolu pirms noteikuma

Noteikums ir protokols, portu diapazons un avots. WireGuard klausās UDP, parasti 51820. OpenVPN parasti ir UDP vai TCP 1194 atkarībā no konfigurācijas. IPsec nepieciešama IKE apmaiņa UDP 500 un 4500, kā arī pats ESP protokols, kas ir protokola numurs, nevis ports. Minēt TCP, jo pārējie noteikumi ir TCP, ir ceļš uz noteikumu, kas izskatās pareizi un neatbilst nekam.

Lasiet klausītāju no darbojošā servisa, nevis no apmācības. Dēmons, kas piesaistīts vienai adresei, nepieņems satiksmi, kas pienāk citā.

Ierobežojiet avotu ar klientu diapazonu, ko pieļauj dizains, nevis ar visu internetu.

Drošības grupas saglabā stāvokli; apakštīkla ACL to nedara

Drošības grupas saglabā stāvokli un tikai atļauj: atļauta ienākošā plūsma automātiski saņem atbildes, un nav noraidīšanas noteikuma, par ko domāt. Apakštīkla ACL stāvokli nesaglabā un tiek vērtēti abos virzienos, tāpēc ienākoša atļauja bez atbilstošā izejošā īslaicīgā diapazona joprojām neizdodas. Šī atšķirība izskaidro daudzus noteikumus, kas konsolē izskatās pareizi.

Pārbaudiet arī, kura politika ir piesaistīta darbojošajam galapunktam, jo instancei var būt vairāk nekā viena grupa, un noteikums nepiesaistītā grupā neko nemaina.

Faktiskā politika ir piesaistītā apvienojums, nevis fails, ko rediģējāt.

Resursdatora ugunsmūris ir atsevišķa robeža

Mākoņa politika ielaiž satiksmi līdz tīkla interfeisam, un pēc tam operētājsistēma izlemj, vai dēmons to redzēs. Resursdatora ugunsmūris ar noklusējuma noraidīšanas politiku nometīs paketi, ko drošības grupa atļāva, un mākoņa konsole nerādīs noraidījumu, jo tai nekad nav bijis viedokļa. Pārbaudiet abus tādā secībā, kādā pakete ar tiem sastopas.

Ja resursdators izmanto distribūcijas ugunsmūra saskarni, pārbaudiet pamatā esošos noteikumus, nevis profila nosaukumu, jo profils var būt aktīvs, kamēr ports ir aizvērts.

Uzņemšana interfeisā pasaka, kura robeža nometa paketi.

Klausītāja atļaušana nav klientu maršrutēšana

VPN vārtejai, kas pārsūta klientu satiksmi, vajag vairāk nekā atvērtu portu. Tai vajag IP pārsūtīšanu, politiku, kas atļauj plūsmu no tuneļa interfeisa uz mērķa tīklu, un bieži interfeisā izslēgtu avota un galamērķa pārbaudi, lai platforma neizmestu satiksmi, kas tai nav adresēta. Neko no tā neveido klausītāja noteikums.

Šeit šķiras strādājošs rokasspiediens un salauzts datu ceļš, un tāpēc tuneļa statuss var izskatīties vesels, kamēr nekas neielādējas.

Labojiet maršrutēšanu kā atsevišķu izmaiņu ar savu pārbaudi, un ņemiet vērā, ka pārsūtošai vārtejai vajag arī izejas politiku, kas atļauj galamērķi.

Paturiet atceļu, pēc tam sašauriniet noteikumu

Pirms mainīt attālā ugunsmūra politiku, pārbaudiet, vai pastāv neatkarīgs pārvaldības ceļš, piemēram, sesiju pārvaldnieks, seriālā konsole vai ārpusjoslas tīkls. Ja vienīgais pārvaldības ceļš iet caur noteikumu, kuru rediģējat, jums nav atjaunošanas. Pēc tam piemērojiet šauro noteikumu, pārbaudiet no īsta klienta un saistiet mēģinājumu ar servera puses pierādījumiem. Atbilde no cita pakalpojuma tajā pašā mašīnā nav pierādījums, ka klausītājs tika sasniegts.

Noņemiet jebkuru eksperimentālu plašu atļauju, tiklīdz šaurā strādā, un pierakstiet, kāpēc noteikums pastāv. AWS dokumentē drošības grupu stāvokli saglabājošo uzvedību, un tieši šis dokuments ir jācitē, kad kāds ierosina plašu diapazonu kā īsceļu.

Dokumentējiet arī piesaisti, citādi aizvietotājs interfeiss klusi zaudēs politiku.