EC2-നായി VPN മാത്രം നിയമം: ബന്ധിപ്പിച്ച ഓരോ സുരക്ഷാ ഗ്രൂപ്പും യോജിക്കണം

VPN ക്ലയന്റ് പൂളിനായി നിങ്ങൾ ഒരു ഇൻബൗണ്ട് നിയമം ചേർക്കുന്നു, ഒന്നും നീക്കം ചെയ്യുന്നില്ല, എന്നിട്ടും സേവനം ഇപ്പോഴും ഇന്റർനെറ്റിൽ നിന്ന് എത്താവുന്നതാണ്. ഒന്നും തകർന്നിട്ടില്ല. സുരക്ഷാ ഗ്രൂപ്പിന് ഇടുങ്ങിയ നിയമത്തിന് ജയിക്കാവുന്ന ഒരു ഓവർറൈഡോ മുൻഗണനയോ അന്തിമ നിരസനമോ ഇല്ല. ഇൻസ്റ്റൻസുമായി ബന്ധിപ്പിച്ച ഓരോ ഗ്രൂപ്പും അതിന്റെ അനുമതികൾ ഒരു സംയുക്ത ഗണത്തിലേക്ക് ചേർക്കുന്നു, നിങ്ങൾ മറന്ന വിശാലമായ നിയമം ഇപ്പോഴും ആ ഗണത്തിൽ ഉണ്ട്. ഇൻസ്റ്റൻസിനെ VPN മാത്രമാക്കുക എന്നത് അവയെല്ലാം ഓഡിറ്റ് ചെയ്യുകയാണ്, ഒന്നിലേക്ക് നന്നായി തോന്നുന്ന ഒരു നിയമം ചേർക്കലല്ല.

നിയമം എഴുതുന്നതിന് മുമ്പ് സേവനം എഴുതുക

കൃത്യമായ ലക്ഷ്യസ്ഥാനം, പ്രോട്ടോക്കോൾ, പോർട്ട് എന്നിവയിൽ നിന്നും സേവനം യഥാർത്ഥത്തിൽ കേൾക്കുന്ന നെറ്റ്വർക്ക് ഇന്റർഫേസിൽ നിന്നും തുടങ്ങുക. ഒന്നിലധികം ഇന്റർഫേസുകളോ ഒരു പോർട്ടിൽ ഒന്നിലധികം സേവനങ്ങളോ ഉള്ള ഇൻസ്റ്റൻസിന് ഓരോ ഇന്റർഫേസിനും ഓഡിറ്റ് ആവശ്യമാണ്, കാരണം ബന്ധിപ്പിച്ച ഗ്രൂപ്പുകൾ വ്യത്യാസപ്പെടാം. തുടർന്ന് നിർണ്ണയിക്കുക ആ ഇന്റർഫേസ് VPN ഉപയോക്താവിന് യഥാർത്ഥത്തിൽ ഏത് ഉറവിട വിലാസമാണ് സ്വീകരിക്കുന്നത്, ക്ലയന്റ് അതിന്റെ സ്വന്തം കണക്ഷൻ വിൻഡോയിൽ കാണിക്കുന്ന വിലാസമല്ല.

വിവർത്തനവും റൂട്ടിംഗും ഉൾപ്പെടുമ്പോൾ ഈ രണ്ട് വിലാസങ്ങളും ആളുകൾ പ്രതീക്ഷിക്കുന്നതിലും കൂടുതൽ തവണ വേർതിരിയുന്നു.

മൂന്ന് ഉറവിട മാതൃകകൾ, മൂന്ന് വ്യത്യസ്ത നിയമങ്ങൾ

സ്വകാര്യ റൂട്ട് ചെയ്ത ആക്സസിൽ, പാത എങ്ങനെ റൂട്ട് ചെയ്യപ്പെടുന്നു, വിവർത്തനം ചെയ്യപ്പെടുന്നു എന്നതിന് അനുസരിച്ച് ഇൻസ്റ്റൻസിന് ക്ലയന്റ് പൂളോ കോർപ്പറേറ്റ് ശ്രേണിയോ ലഭിക്കുന്നു. കോർപ്പറേറ്റ് എഗ്രെസിലൂടെ എത്തുന്ന പൊതു എൻഡ്പോയിന്റിൽ, ഇൻസ്റ്റൻസ് പകരം കോർപ്പറേറ്റ് NAT വിലാസം കാണുന്നു, ആ ലക്ഷ്യസ്ഥാനം യഥാർത്ഥത്തിൽ VPN പാത ഉപയോഗിക്കുമ്പോൾ മാത്രം, കാരണം സ്പ്ലിറ്റ് ടണലിംഗ് അതിനെ വീട്ടിലെ കണക്ഷനിൽ വിട്ടേക്കാം. മാനേജ്ഡ് Client VPN എൻഡ്പോയിന്റിൽ രേഖപ്പെടുത്തിയ അസോസിയേഷനും ലക്ഷ്യ നെറ്റ്വർക്ക് മാതൃകയും ബാധകമാണ്, ക്ലയന്റ് വിലാസം കോൺഫിഗർ ചെയ്ത ക്ലയന്റ് CIDR-ൽ നിന്ന് വരുന്നു.

പ്രവർത്തിക്കാത്തത് VPN ഗേറ്റ്വേയെ സുരക്ഷാ ഗ്രൂപ്പിന്റെ ഉറവിടമായി പരാമർശിക്കുന്നതാണ്. ഗ്രൂപ്പ് റഫറൻസുകൾ VPC-യ്ക്കോ പിയർ ചെയ്ത നെറ്റ്വർക്കിനോ ഉള്ളിലെ ഇലാസ്റ്റിക് നെറ്റ്വർക്ക് ഇന്റർഫേസുകളുമായി ഒത്തുപോകുന്നു, പാക്കറ്റുകൾ കൈമാറുന്ന ഗേറ്റ്വേ അവയിലൊന്നല്ല.

ബന്ധിപ്പിച്ച എല്ലാ ഗ്രൂപ്പുകളിലും യൂണിയൻ വായിക്കുക

ഇൻസ്റ്റൻസ് തുറക്കുക, അതിന്റെ നെറ്റ്വർക്ക് ഇന്റർഫേസ് കണ്ടെത്തുക, അതിൽ ബന്ധിപ്പിച്ച എല്ലാ സുരക്ഷാ ഗ്രൂപ്പുകളും ലിസ്റ്റ് ചെയ്യുക. ഓരോന്നിനും, നിങ്ങളുടെ പ്രോട്ടോക്കോളും പോർട്ടും ഉൾക്കൊള്ളുന്ന എല്ലാ നിയമവും പരിശോധിക്കുക, വിശാലമായ പോർട്ട് ശ്രേണികളും രണ്ട് വിലാസ കുടുംബങ്ങളും ഉൾപ്പെടെ. 0.0.0.0/0-ൽ നിന്നുള്ള IPv4 നിയമം ::/0 പരിശോധിക്കുന്നതിൽ നിന്ന് നിങ്ങളെ ഒഴിവാക്കുന്നില്ല, എല്ലാ ട്രാഫിക്കും അനുവദിക്കുന്ന നിയമം പോർട്ട് ചോദ്യം പൂർണ്ണമായി മറയ്ക്കുന്നു. ഈ ഇൻവെന്ററിക്ക് ശേഷം മാത്രമേ സേവനത്തിനുള്ള ഫലപ്രദമായ അനുമതി എന്താണെന്ന് നിങ്ങൾക്ക് പറയാൻ കഴിയൂ.

AWS നിയമ റഫറൻസ് സുരക്ഷാ ഗ്രൂപ്പുകളെ അനുവദനീയം മാത്രം എന്ന് വിവരിക്കുന്നു, ബന്ധിപ്പിച്ച എല്ലാ ഗ്രൂപ്പുകളുടെയും നിയമങ്ങൾ സംയോജിപ്പിക്കപ്പെടുന്നു എന്ന് പറയുന്നു, ഈ പരാജയത്തിന് പിന്നിലെ മുഴുവൻ സംവിധാനവും അതാണ്.

നെറ്റ്വർക്ക് ACL-കൾ ക്രമീകൃതമായ അനുവദനീയവും നിരസനവും ഉള്ള പ്രത്യേക, അവസ്ഥയില്ലാത്ത നയമാണ്, അവ ഇൻസ്റ്റൻസിലല്ല, സബ്നെറ്റിൽ വിലയിരുത്തപ്പെടുന്നു.

നിരസനത്തിന്റെ മതിലുകൊണ്ട് ഉത്തരം നൽകരുത്

നിങ്ങൾ പരിചയമുള്ള ഫയർവാളിനെ അനുകരിക്കാൻ സബ്നെറ്റ് വ്യാപകമായ NACL നിരസനം ചേർക്കുന്നത് തെറ്റായ ഉപകരണവും അപകടകരവുമാണ്. NACL എൻട്രികൾ ക്രമീകൃതവും അവസ്ഥയില്ലാത്തതുമാണ്, അതിനാൽ നിലവിലുള്ള അനുമതിക്ക് മുകളിൽ വെച്ച നിരസനം ബന്ധമില്ലാത്ത ട്രാഫിക്ക് നിശബ്ദമായി തകർക്കുന്നു, നിങ്ങൾ നിലനിർത്താൻ ശ്രമിച്ച സെഷനുകളുടെ തിരികെയുള്ള പാത ഉൾപ്പെടെ. വിശാലമായ സുരക്ഷാ ഗ്രൂപ്പ് അനുമതി അതിന്റെ ഉടമസ്ഥതയിലുള്ള ഗ്രൂപ്പിൽ തന്നെ ശരിയാക്കുക, തുടർന്ന് ACL യഥാർത്ഥത്തിൽ ഡിസൈനിന്റെ ഭാഗമല്ലെങ്കിൽ അത് വിടുക.

ഇൻസ്റ്റൻസിൽ നിന്ന് പൊതു വിലാസം നീക്കം ചെയ്യുന്നത് കൂടുതൽ ശക്തമായ ഉറപ്പാണ്, അത് അഡ്മിനിസ്ട്രേറ്റീവ്, ആപ്ലിക്കേഷൻ പ്രത്യാഘാതങ്ങളുള്ള ഒരു ആർക്കിടെക്ചർ മാറ്റവുമാണ്, അനുമതി പട്ടികയിലെ ഒരു ചെക്ക്ബോക്സല്ല.

പുതിയ സെഷനിൽ പരിശോധിക്കുക, അകത്തേക്കുള്ള വഴി സൂക്ഷിക്കുക

നിലവിലുള്ള ഏതെങ്കിലും അനുമതി ഒഴിവാക്കുന്നതിന് മുമ്പ് അംഗീകൃത സ്വതന്ത്ര അഡ്മിനിസ്ട്രേഷൻ പാത ഉറപ്പാക്കുക, കാരണം നിങ്ങൾ ഇല്ലാതാക്കാൻ പോകുന്ന നിയമം നിങ്ങളുടെ സെഷൻ വീണ്ടെടുക്കൽ ആശ്രയിക്കുന്നത് അതായിരിക്കാം. തുടർന്ന് VPN-ൽ നിന്ന് പുതിയ അനുവദിച്ച കണക്ഷനും അംഗീകൃത VPN-അല്ലാത്ത ടെസ്റ്റ് പാതയിൽ നിന്ന് പുതിയ നിരസിച്ച കണക്ഷനും പരിശോധിക്കുക. നിലവിലുള്ള ട്രാക്ക് ചെയ്ത സെഷനുകൾ നിയമ മാറ്റങ്ങളെ അതിജീവിക്കുന്നത് പഴയ തുറന്ന ഷെല്ലുകളെ സ്വീകാര്യതാ തെളിവായി ഉപയോഗശൂന്യമാക്കുന്നു.

അവസാനമായി, ആപ്ലിക്കേഷന്റെ സ്വന്തം അധികാരം അതിന്റെ സ്ഥാനത്ത് നിലനിർത്തുക. വിവർത്തനം ചെയ്ത കോർപ്പറേറ്റ് എഗ്രെസ് നൂറുകണക്കിന് ആളുകളെ പ്രതിനിധീകരിക്കാം, നെറ്റ്വർക്ക് പ്രവേശനം ഒരിക്കലും ഒരു വ്യക്തി ഉപയോക്താവിനെയോ അവരുടെ ഉപകരണത്തെയോ തിരിച്ചറിഞ്ഞിട്ടില്ല.