Peraturan AWS Client VPN terletak pada sumber, bukan subnet

Kakitangan perlu mencapai satu aplikasi dalam VPC dan tidak boleh mencapai pendengar pangkalan data pada instans yang sama, jadi seseorang menambah subnet awam kedua untuk endpoint VPN dan mengisytiharkan keperluan dipenuhi. Kedudukan subnet mengubah penghalaan dan ketersediaan. Ia tidak memberi atau menahan satu port pun. Kebenaran yang menyatakan keperluan berada di destinasi, dalam kumpulan keselamatan sumber, dan sempadan VPN menyediakan pemegang yang dirujuk oleh peraturan itu.

Kedudukan subnet ialah penghalaan, bukan kebenaran

Di mana persatuan rangkaian endpoint berada menentukan jadual laluan mana yang membawa trafik klien dan zon ketersediaan mana yang bertahan daripada kegagalan. Ia tidak menyatakan apa-apa tentang port mana pada instans mana yang boleh dicapai oleh trafik itu. Dua klien yang bergabung dengan subnet yang sama masih tiba dengan identiti sumber yang sama, dan sumber itu tidak dapat membezakan mereka melalui nama subnet.

Mulakan dengan keperluan: siapa yang memanggil, sumber mana, port perkhidmatan mana dan arah mana. Kemudian pilih model peraturan yang dapat menyatakan empat perkara itu di destinasi. Rangka kerja itu biasanya membuang subnet tambahan sepenuhnya daripada reka bentuk.

Kumpulan persatuan Client VPN ialah pemegangnya

Bagi endpoint AWS Client VPN yang bergabung dengan subnet, susunan yang didokumenkan adalah khusus. Gunakan kumpulan keselamatan yang dimaksudkan pada persatuan rangkaian sasaran endpoint, kemudian benarkan trafik yang diperlukan dalam kumpulan keselamatan sumber dengan menggunakan kumpulan Client VPN itu sebagai sumber.

Secara konkrit, kumpulan instans aplikasi membenarkan port aplikasi daripada kumpulan persatuan, dan tiada yang lain. Prosedur akses sumber AWS menerangkan hubungan itu, dan wajar mengekalkan dasar kumpulan yang sama pada setiap subnet yang disertai endpoint, kerana persatuan lama dengan kumpulan berbeza secara senyap meluaskan sempadan.

Peraturan itu tidak mengesahkan sesiapa. Log masuk ialah kawalan berasingan, dan laluan ke sumber ialah yang ketiga. Ketiga-tiganya mesti benar sebelum permintaan tiba. Yang mana gagal menentukan pembetulan mana yang betul, dan perubahan peraturan hanyalah jawapan yang tepat untuk yang pertama.

Apa yang tidak dapat dibezakan oleh satu kumpulan persatuan

Setiap klien di belakang kumpulan persatuan yang sama mencapai sumber sebagai sumber kumpulan keselamatan yang sama. Dua pengguna dengan peranan berbeza tidak dapat dibezakan pada lapisan itu, tidak kira bagaimana kumpulan itu dinamakan atau ditag. Kebenaran kumpulan luaran Client VPN mengehadkan akses mengikut awalan destinasi untuk kumpulan direktori atau SAML, yang lebih kasar daripada peranan sumber dan harus dianggap sebagai sempadan rangkaian, bukan sistem identiti.

Perbezaan yang lebih halus menjadi milik aplikasi. Pendengar pangkalan data yang mesti kekal tertutup kepada kebanyakan kakitangan lebih baik dilindungi dengan tidak dapat dicapai sama sekali pada awalan yang dibenarkan daripada berharap keahlian kumpulan kekal teratur.

Menamakan semula kumpulan tidak mencipta identiti, dan menduplikasinya bagi setiap pasukan hanya menggandakan persatuan yang perlu diaudit.

Jangan salin peraturan itu ke setiap reka bentuk VPN

Gerbang EC2 VPN yang diurus sendiri, peranti pemeriksaan yang dihalakan dan Client VPN terurus ialah tiga laluan paket yang berbeza. Tetapkan alamat sumber mana yang benar-benar mencapai sumber, sama ada terjemahan berlaku di antaranya, dan mekanisme rujukan mana yang disokong perkhidmatan pada laluan itu.

Memajukan trafik melalui peranti perantaraan tidak mengekalkan rujukan kumpulan keselamatan sumber seperti trafik langsung antara instans. AWS mendokumenkan bahawa reka bentuk sedemikian mungkin memerlukan alamat sumber peribadi atau CIDR yang sesuai dan bukannya rujukan kumpulan. Prosedur Client VPN terurus bukan bukti bahawa kumpulan yang dilampirkan pada setiap gerbang berfungsi sebagai token identiti sejagat untuk paket yang dimajukan.

Satu lompatan NAT pada laluan sudah cukup untuk memecahkan andaian itu, dan kegagalan itu kelihatan seperti peraturan yang ada tetapi tidak pernah sepadan.

Semak sempadan berkesan

Baca setiap kumpulan keselamatan yang dilampirkan pada sumber, kerana peraturan membenarkan bergabung dan peraturan sempit tidak membatalkan yang lebih luas pada kumpulan lain. Kemudian periksa ACL rangkaian, tembok api hos dan kebenaran aplikasi itu sendiri, yang merupakan lapisan berasingan dengan kesilapan berasingan.

Akhiri dengan satu permintaan yang dibenarkan dan satu permintaan yang sengaja dikecualikan terhadap sumber yang sama. Pasangan itu membuktikan sempadan, manakala satu sambungan berjaya hanya membuktikan sesuatu terbuka. Sahkan laluan, sumber berkesan dan port perkhidmatan yang dimaksudkan, bukan subnet yang mengandungi endpoint.

Urutan kerja: tulis keperluan empat bahagian, lampirkan kumpulan pada persatuan, hadkan peraturan sumber kepada port, sahkan satu kebenaran dan satu penafian, dan hanya kemudian pertimbangkan membahagikan subnet atas sebab penghalaan.