EC2 noteikums tikai VPN: katrai piesaistītajai drošības grupai jāpiekrīt

Jūs pievienojat vienu ienākošo noteikumu VPN klientu pūlam, neko nenoņemat, un pakalpojums joprojām ir sasniedzams no interneta. Nekas nav salauzts. Drošības grupai nav pārrakstīšanas, prioritātes vai galīgā aizlieguma, pret ko šaurais noteikums varētu uzvarēt. Katra instancei piesaistītā grupa pievieno savas atļaujas vienai apvienotai kopai, un plašais noteikums, ko aizmirsāt, joprojām ir šajā kopā. Padarīt instanci tikai-VPN nozīmē auditēt visas, nevis pievienot labāk skanošu noteikumu vienai.

Pierakstiet pakalpojumu, pirms rakstāt noteikumu

Sāciet ar precīzu galamērķi, protokolu un portu, kā arī tīkla interfeisu, kurā pakalpojums patiešām klausās. Instancei ar vairākiem interfeisiem vai vairākiem pakalpojumiem vienā portā audits jāveic katram interfeisam, jo piesaistītās grupas var atšķirties. Pēc tam nosakiet kuru avota adresi šis interfeiss patiešām saņem VPN lietotājam, nevis adresi, ko klients rāda savā savienojuma logā.

Šīs divas adreses atšķiras biežāk, nekā cilvēki gaida, tiklīdz iesaistās tulkošana un maršrutēšana.

Trīs avota modeļi, trīs dažādi noteikumi

Ar privātu maršrutētu piekļuvi instance saņem klientu pūlu vai uzņēmuma diapazonu atkarībā no tā, kā ceļš tiek maršrutēts un tulkots. Ar publisku galapunktu, kas sasniegts caur uzņēmuma izeju, instance tā vietā redz uzņēmuma NAT adresi, un tikai tad, ja šis galamērķis patiešām izmanto VPN ceļu, jo sadalītā tunelēšana var atstāt to mājas savienojumā. Ar pārvaldītu Client VPN galapunktu tiek piemērots dokumentētais asociācijas un mērķa tīkla modelis, un klienta adrese nāk no konfigurētā klienta CIDR.

Tas, kas nestrādā, ir VPN vārtejas norādīšana kā drošības grupas avots. Grupu atsauces atbilst elastīgiem tīkla interfeisiem VPC vai savienotā tīklā, un vārteja, kas pārsūta paketes, nav viena no tām.

Izlasiet apvienojumu visās piesaistītajās grupās

Atveriet instanci, atrodiet tās tīkla interfeisu un uzskaitiet katru tam piesaistīto drošības grupu. Katrai pārbaudiet katru noteikumu, kas aptver jūsu protokolu un portu, tostarp plašus portu diapazonus un abas adrešu saimes. IPv4 noteikums no 0.0.0.0/0 neatbrīvo jūs no ::/0 pārbaudes, un noteikums, kas atļauj visu trafiku, pilnībā paslēpj porta jautājumu. Tikai pēc šī uzskaitījuma jūs varat pateikt, kāda ir pakalpojuma faktiskā atļauja.

AWS noteikumu uzziņa raksturo drošības grupas kā tikai-atļaujošas un norāda, ka visu piesaistīto grupu noteikumi tiek apkopoti, un tas ir viss mehānisms aiz šīs kļūmes.

Tīkla ACL ir atsevišķa, bezstāvokļa politika ar sakārtotiem atļaušanas un aizliegšanas ierakstiem, un tās tiek novērtētas apakštīklā, nevis instancē.

Neatbildiet ar aizliegumu sienu

Apakštīkla mēroga NACL aizlieguma pievienošana, lai atdarinātu ierasto ugunsmūri, ir nepareizs rīks un riskants. NACL ieraksti ir sakārtoti un bezstāvokļa, tāpēc aizliegums, kas novietots virs esošas atļaujas, klusi salauž nesaistītu trafiku, tostarp atgriešanās ceļu tām sesijām, kuras centāties saglabāt. Izlabojiet plašo drošības grupas atļauju grupā, kurai tā pieder, un pēc tam atstājiet ACL mierā, ja vien tas patiešām nav dizaina daļa.

Publiskas adreses noņemšana no instances ir spēcīgāka garantija, un tas ir arī arhitektūras mainījums ar administratīvām un lietojumprogrammu sekām, nevis ķeksītis atļauju sarakstā.

Pārbaudiet ar jaunu sesiju un saglabājiet ceļu iekšā

Pirms atsakāties no jebkuras esošās atļaujas, apstipriniet apstiprinātu neatkarīgu administrēšanas ceļu, jo noteikums, kuru gatavojaties dzēst, var būt tas, no kura ir atkarīga jūsu sesijas atjaunošana. Pēc tam pārbaudiet jaunu atļautu savienojumu no VPN un jaunu noraidītu savienojumu no apstiprināta ne-VPN testa ceļa. Esošās izsekotās sesijas pārdzīvo noteikumu izmaiņas tā, ka vecie atvērtie apvalki kļūst nederīgi kā pieņemšanas pierādījums.

Visbeidzot, saglabājiet pašas lietojumprogrammas autorizāciju savā vietā. Tulkota uzņēmuma izeja var pārstāvēt simtiem cilvēku, un tīkla uzņemšana nekad nav identificējusi atsevišķu lietotāju vai viņa ierīci.