AWS Client VPN-ийн дүрмүүд нөөц дээр байх ёстой, subnet дээр биш

Ажилтнууд VPC доторх нэг аппликейшнд хүрэх ёстой бөгөөд ижил инстанс дээрх мэдээллийн сангийн сонсогчид хүрч болохгүй тул хэн нэгэн VPN endpoint-д зориулж хоёр дахь нийтийн subnet нэмж, шаардлагыг биелсэн гэж зарладаг. Subnet-ийн байрлал нь чиглүүлэлт ба боломжит байдлыг өөрчилдөг. Энэ нь нэг ч порт олгохгүй, хасахгүй. Шаардлагыг илэрхийлэх зөвшөөрөл нь очих газарт, нөөцийн аюулгүй байдлын бүлэгт оршдог бөгөөд VPN-ийн хил нь тухайн дүрэм заасан бариулыг өгдөг.

Subnet-ийн байрлал нь чиглүүлэлт, зөвшөөрөл биш

Endpoint-ийн сүлжээний холболт хаана байгаа нь аль чиглүүлэлтийн хүснэгт үйлчлүүлэгчийн урсгалыг зөөх, аль боломжит бүс алдааг даван туулахыг тодорхойлдог. Тухайн урсгал аль инстансын аль портод хүрч болохыг энэ нь огт хэлэхгүй. Нэг subnet-д холбогдсон хоёр үйлчлүүлэгч ижил эх сурвалжийн таних тэмдэгтэй ирсээр байх бөгөөд нөөц тэднийг subnet-ийн нэрээр ялгаж чадахгүй.

Харин шаардлагаас эхэл: хэн дуудаж байна, аль нөөц, аль үйлчилгээний порт, аль чиглэл. Дараа нь эдгээр дөрвийг очих газарт илэрхийлж чадах дүрмийн загварыг сонго. Ийм хандлага нь илүү subnet-ийг загвараас бүрэн хасдаг.

Client VPN-ийн холболтын бүлэг нь яг тэр бариул

Subnet-д холбогдсон AWS Client VPN endpoint-ийн хувьд баримтжуулсан журам тодорхой. Зориулсан аюулгүй байдлын бүлгийг endpoint-ийн зорилтот сүлжээний холболтуудад хэрэглэж, дараа нь тухайн Client VPN бүлгийг эх сурвалж болгон ашиглан нөөцийн аюулгүй байдлын бүлэгт шаардлагатай урсгалыг зөвшөөр.

Тодруулбал, аппликейшн инстансын бүлэг холболтын бүлгээс аппликейшны портыг л зөвшөөрдөг, өөр юу ч биш. AWS-ийн нөөцөд хандах журам энэ харилцааг тайлбарладаг бөгөөд endpoint холбогддог subnet бүрд ижил бүлгийн бодлогыг хадгалах нь зүйтэй, учир нь өөр бүлэгтэй хуучирсан холболт хилийг чимээгүй өргөжүүлдэг.

Тухайн дүрэм хэнийг ч баталгаажуулдаггүй. Нэвтрэх нь тусдаа хяналт, нөөц хүрэх зам нь гурав дахь. Хүсэлт ирэхээс өмнө гурвуулаа биелэх ёстой. Аль нь бүтэлгүйтвэл аль засвар зөв болохыг тодорхойлдог бөгөөд дүрэм өөрчлөх нь зөвхөн эхнийхэд зөв хариулт.

Нэг холболтын бүлэг ялгаж чадахгүй зүйл

Нэг холболтын бүлгийн ард байгаа үйлчлүүлэгч бүр нөөцөд ижил аюулгүй байдлын бүлгийн эх сурвалж болж хүрдэг. Өөр өөр дүртэй хоёр хэрэглэгчийг тэр давхаргад ялгах боломжгүй, бүлгийг хэрхэн нэрлэсэн, шошгосон ч хамаагүй. Client VPN-ийн гадаад бүлгийн зөвшөөрөл нь хавтас эсвэл SAML бүлгийн хувьд очих префиксээр хандалтыг хязгаарладаг бөгөөд энэ нь нөөцийн дүрээс бүдүүвтэр бөгөөд таних тэмдгийн систем биш, сүлжээний хил гэж үзэх ёстой.

Нарийн ялгаа нь аппликейшных. Ихэнх ажилтнаас хаалттай байх ёстой мэдээллийн сангийн сонсогчийг бүлгийн гишүүнчлэл цэгцтэй байна гэж найдахын оронд зөвшөөрөгдсөн префикс дээр огт хүрэхгүй байхаар хамгаалах нь дээр.

Бүлгийг өөрөөр нэрлэх нь таних тэмдэг үүсгэхгүй, баг тус бүрээр хуулбарлах нь шалгах холболтыг л үржүүлнэ.

Тухайн дүрмийг VPN-ийн загвар бүрт хуулж болохгүй

Өөрөө удирддаг EC2 VPN гарц, чиглүүлсэн шалгалтын төхөөрөмж, удирддаг Client VPN нь гурван өөр пакетын зам. Нөөцөд аль эх сурвалжийн хаяг үнэхээр хүрдэг, замд хөрвүүлэлт хийгддэг эсэх, тухайн замд үйлчилгээ ямар лавлагааны механизмыг дэмждэгийг тогтоо.

Урсгалыг завсрын төхөөрөмжөөр дамжуулах нь шууд инстанс хоорондын урсгал шиг эх сурвалжийн аюулгүй байдлын бүлгийн лавлагааг хадгалдаггүй. Ийм загварт бүлгийн лавлагааны оронд тохирох хувийн эх сурвалжийн хаяг эсвэл CIDR шаардлагатай байж болно гэж AWS баримтжуулдаг. Удирддаг Client VPN-ийн журам нь гарц бүрийн хавсаргасан бүлэг дамжуулсан пакетуудад бүх нийтийн таних тэмдгийн токен болж ажилладаг гэсэн баталгаа биш.

Замд нэг NAT үсрэлт хангалттай таамаглалыг эвдэхэд, алдаа нь байгаа боловч хэзээ ч тохирохгүй дүрэм мэт харагдана.

Үр дүнтэй хилийг хяна

Нөөцөд хавсаргасан аюулгүй байдлын бүлэг бүрийг унш, учир нь зөвшөөрөх дүрмүүд нэмэгддэг бөгөөд нарийн дүрэм өөр бүлгийн өргөн дүрмийг цуцалдаггүй. Дараа нь сүлжээний ACL, хост файрвол, аппликейшны өөрийн зөвшөөрлийг шалга, эдгээр нь тусдаа алдаатай тусдаа давхаргууд.

Нэг нөөцийн эсрэг нэг зөвшөөрөгдсөн, нэг зориуд хасагдсан хүсэлтээр дуусга. Энэ хос хил хязгаарыг нотолдог бол нэг амжилттай холболт зөвхөн ямар нэг зүйл нээлттэй гэдгийг нотолдог. Endpoint агуулсан subnet-ийн оронд зам, үр дүнтэй эх сурвалж, зорьсон үйлчилгээний портыг баталгаажуул.

Ажлын дараалал: дөрвөн хэсэгтэй шаардлагыг бич, бүлгийг холболтуудад хавсарга, нөөцийн дүрмийг портоор хязгаарла, нэг зөвшөөрөл ба нэг татгалзлыг шалга, зөвхөн дараа нь чиглүүлэлтийн шалтгаанаар subnet хуваах талаар бод.