EC2-ийн зөвхөн VPN дүрэм: холбогдсон аюулгүй байдлын бүлэг бүр зөвшөөрөх ёстой

Та VPN клиентийн пулд нэг орцын дүрэм нэмж, юу ч устгахгүй байхад үйлчилгээ интернэтээс хүртээмжтэй хэвээр байна. Юу ч эвдэрээгүй. Аюулгүй байдлын бүлэгт нарийн дүрэм ялж чадах давамгайлал, эрэмбэ, эцсийн татгалзал байхгүй. Инстанст холбогдсон бүлэг бүр өөрийн зөвшөөрлүүдийг нэг нэгдсэн олонлогт нэмдэг бөгөөд таны мартсан өргөн дүрэм тэр олонлогт хэвээр байна. Инстансыг зөвхөн-VPN болгох нь бүгдийг нь аудитлахыг хэлнэ, нэгэнд нь илүү сайхан сонсогдох дүрэм нэмэхийг биш.

Дүрмийг бичихээс өмнө үйлчилгээг бичиж аваарай

Яг очих газар, протокол, портоос гадна үйлчилгээ бодитоор сонсдог сүлжээний интерфэйсээс эхэл. Хэд хэдэн интерфэйс эсвэл нэг порт дээр хэд хэдэн үйлчилгээтэй инстанс интерфэйс бүрээр аудит хийхийг шаарддаг, учир нь холбогдсон бүлгүүд ялгаатай байж болно. Дараа нь тодорхойл тэр интерфэйс VPN хэрэглэгчийн хувьд яг ямар эх хаяг хүлээн авдаг, клиент өөрийн холболтын цонхонд харуулдаг хаяг биш.

Орчуулга, чиглүүлэлт оролцож эхлэхэд энэ хоёр хаяг хүмүүсийн хүлээж байснаас илүү олон удаа зөрдөг.

Гурван эх сурвалжийн загвар, гурван өөр дүрэм

Хувийн чиглүүлсэн хандалтад зам хэрхэн чиглүүлэгдэж, орчуулагдахаас хамааран инстанс клиентийн пул эсвэл корпорацийн хүрээг хүлээн авдаг. Корпорацийн гаралтаар хүрдэг нийтийн төгсгөлийн цэгт инстанс оронд нь корпорацийн NAT хаягийг хардаг бөгөөд зөвхөн тэр очих газар VPN замыг бодитоор ашиглаж байгаа тохиолдолд, учир нь хуваагдсан туннель нь түүнийг гэрийн холболт дээр үлдээж болно. Удирдлагатай Client VPN төгсгөлийн цэгт баримтжуулсан холбоо, зорилтот сүлжээний загвар үйлчилнэ, клиентийн хаяг нь тохируулсан клиентийн CIDR-ээс ирдэг.

Ажиллахгүй зүйл бол VPN гарцыг аюулгүй байдлын бүлгийн эх сурвалж гэж дурдах юм. Бүлгийн лавлагаа нь VPC эсвэл хосолсон сүлжээний доторх уян хатан сүлжээний интерфэйстэй тохирдог бөгөөд пакет дамжуулдаг гарц тэдгээрийн нэг биш.

Холбогдсон бүх бүлэг дахь нэгдлийг унш

Инстансыг нээж, сүлжээний интерфэйсийг нь олоод, түүнд холбогдсон аюулгүй байдлын бүлэг бүрийг жагсаа. Бүрийн хувьд протокол, портыг хамарсан бүх дүрмийг шалга, өргөн портын хүрээ болон хоёр хаягийн гэр бүлийг оруулан. 0.0.0.0/0-ээс IPv4 дүрэм ::/0-ийг шалгахаас чөлөөлөхгүй бөгөөд бүх урсгалыг зөвшөөрдөг дүрэм портын асуудлыг бүрэн нуудаг. Энэ бүртгэлийн дараа л үйлчилгээний бодит зөвшөөрөл юу болохыг хэлж чадна.

AWS дүрмийн лавлагаа аюулгүй байдлын бүлгүүдийг зөвхөн-зөвшөөрөх гэж тодорхойлж, бүх холбогдсон бүлгийн дүрмүүд нэгтгэгддэг гэж заасан бөгөөд энэ нь энэ бүтэлгүйтлийн ард байгаа бүх механизм юм.

Сүлжээний ACL нь дараалалтай зөвшөөрөх, татгалзах бичлэг бүхий тусдаа, төлөвгүй бодлого бөгөөд тэдгээрийг инстанс дээр биш, дэд сүлжээ дээр үнэлдэг.

Татгалзлын ханаар хариу бүү өг

Таны дассан галт ханыг дуурайхын тулд дэд сүлжээний хэмжээнд NACL татгалзал нэмэх нь буруу хэрэгсэл бөгөөд эрсдэлтэй. NACL бичлэгүүд дараалалтай, төлөвгүй тул одоо байгаа зөвшөөрлийн дээр тавьсан татгалзал холбоогүй урсгалыг чимээгүй эвддэг, түүний дотор та хадгалахыг оролдсон сессийн буцах замыг. Өргөн аюулгүй байдлын бүлгийн зөвшөөрлийг түүний эзэмшдэг бүлэгт засаад, дараа нь ACL-ийг дизайны бодит хэсэг биш л бол орхи.

Инстансаас нийтийн хаягийг хасах нь илүү хүчтэй баталгаа бөгөөд энэ нь захиргааны болон хэрэглээний үр дагавартай архитектурын өөрчлөлт, зөвшөөрлийн жагсаалт дээрх чекбокс биш.

Шинэ сессээр туршиж, орох замаа хадгал

Одоо байгаа зөвшөөрлөөс татгалзахаас өмнө батлагдсан бие даасан захиргааны замыг баталгаажуул, учир нь та устгах гэж буй дүрэм таны сессийг сэргээхээс хамааралтай дүрэм байж болно. Дараа нь VPN-ээс шинэ зөвшөөрөгдсөн холболт, зөвшөөрөгдсөн VPN бус туршилтын замаас шинэ татгалзсан холболтыг турш. Одоо байгаа хянагдаж буй сессүүд дүрмийн өөрчлөлтийг даван туулдаг тул хуучин нээлттэй бүрхүүлүүд хүлээн авалтын нотолгоо болж чадахгүй.

Эцэст нь програмын өөрийн зөвшөөрлийг байранд нь хадгал. Орчуулсан корпорацийн гаралт хэдэн зуун хүнийг төлөөлж болох бөгөөд сүлжээний элсэлт хувь хүний хэрэглэгч эсвэл түүний төхөөрөмжийг хэзээ ч танихгүй байсан.