Правило за EC2 само за VPN: секоја поврзана безбедносна група мора да се согласи

Додавате едно влезно правило за базенот на VPN клиенти, не отстранувате ништо, а услугата сѐ уште е достапна од интернет. Ништо не е расипано. Безбедносната група нема надјачување, приоритет или конечно одбивање против кои тесното правило би можело да победи. Секоја група поврзана со инстанцата ги придонесува своите дозволи во едно обединето множество, а широкото правило што сте го заборавиле сѐ уште е во тоа множество. Правењето на инстанцата само-VPN значи да се ревидираат сите, а не да се додаде подобро звучно правило на една од нив.

Запишете ја услугата пред да го напишете правилото

Почнете со точното одредиште, протоколот и портата, како и мрежниот интерфејс на кој услугата навистина слуша. Инстанца со повеќе интерфејси или повеќе услуги на една порта бара ревизија за секој интерфејс, бидејќи поврзаните групи можат да се разликуваат. Потоа утврдете која адреса на изворот тој интерфејс навистина ја прима за VPN корисник, а не адресата што клиентот ја прикажува во сопствениот прозорец за поврзување.

Овие две адреси се разидуваат почесто отколку што луѓето очекуваат кога ќе се вклучат преводот и рутирањето.

Три модели на извор, три различни правила

Со приватниот рутиран пристап инстанцата го прима базенот на клиенти или корпоративниот опсег, зависно од тоа како патеката се рутира и преведува. Со јавна крајна точка достапна преку корпоративниот излез, инстанцата наместо тоа ја гледа корпоративната NAT адреса, и само ако тоа одредиште навистина ја користи VPN патеката, бидејќи поделениот тунел може да го остави на домашна врска. Со управувана крајна точка Client VPN се применува документираниот модел на поврзување и целна мрежа, а адресата на клиентот доаѓа од конфигурираниот CIDR на клиентот.

Она што не работи е упатувањето на VPN порта како извор на безбедносна група. Референците на групи се совпаѓаат со еластични мрежни интерфејси во VPC или поврзана мрежа, а порта што пренесува пакети не е една од нив.

Прочитајте ја унијата низ сите поврзани групи

Отворете ја инстанцата, пронајдете го нејзиниот мрежен интерфејс и наведете ја секоја безбедносна група поврзана со него. За секоја проверете го секое правило што го покрива вашиот протокол и порта, вклучувајќи широки опсези на порти и двете фамилии на адреси. IPv4 правило од 0.0.0.0/0 не ве ослободува од проверка на ::/0, а правило што дозволува целиот сообраќај целосно го крие прашањето за портата. Само по тој попис можете да кажете која е ефективната дозвола за услугата.

Референцата за правила на AWS ги опишува безбедносните групи како само-дозволувачки и наведува дека правилата од сите поврзани групи се агрегираат, и тоа е целиот механизам зад овој неуспех.

Мрежните ACL се одделна политика без состојба со подредени записи за дозвола и одбивање, и се оценуваат на подмрежата, а не на инстанцата.

Не одговарајте со ѕид од одбивања

Додавањето NACL одбивање на ниво на целата подмрежа за да имитирате заштитен ѕид на кој сте навикнати е погрешна алатка и ризична. Записите на NACL се подредени и без состојба, па одбивање поставено над постоечка дозвола тивко крши неповрзан сообраќај, вклучувајќи ја повратната патека за сесиите што се обидовте да ги задржите. Поправете ја широката дозвола на безбедносната група во групата што ја поседува, а потоа оставете го ACL на мир освен ако тој навистина не е дел од дизајнот.

Отстранувањето на јавна адреса од инстанцата е посилна гаранција, и тоа е и архитектонска промена со административни и апликациски последици, а не поле за штиклирање на списокот со дозволи.

Тестирајте со нова сесија и задржете начин за влез

Пред да повлечете било која постоечка дозвола, потврдете одобрена независна административна патека, бидејќи правилото што ќе го избришете може да биде она од кое зависи закрепнувањето на вашата сесија. Потоа тестирајте нова дозволена врска од VPN и нова одбиена врска од одобрена тест патека без VPN. Постоечките следени сесии ги преживуваат промените на правилата на начин што старите отворени шкољки ги прави бескорисни како доказ за прифаќање.

На крајот, задржете ја сопствената авторизација на апликацијата на место. Преведениот корпоративен излез може да претставува стотици луѓе, а мрежниот прием никогаш не идентификувал поединечен корисник или неговиот уред.