Kumpulan keselamatan awan untuk VPN: buka pendengar, bukan semua

Pelayan VPN berjalan, klien tamat masa, dan tindak balas pertama ialah menambah peraturan yang membenarkan semua pada kumpulan keselamatan. Kadang-kadang itu menjadikannya berfungsi, dan itulah hasil yang paling teruk, kerana kini tiada siapa tahu sempadan mana yang benar-benar ditutup. Terdapat empat penapis berasingan antara klien dan daemon, dan hanya satu daripadanya ialah kumpulan keselamatan.

Namakan protokol sebelum peraturan

Peraturan ialah protokol, julat port dan sumber. WireGuard mendengar pada UDP, biasanya 51820. OpenVPN biasanya UDP atau TCP 1194 bergantung pada konfigurasinya. IPsec memerlukan pertukaran IKE pada UDP 500 dan 4500 serta protokol ESP itu sendiri, yang merupakan nombor protokol dan bukan port. Meneka TCP kerana peraturan lain TCP ialah cara orang mendapat peraturan yang kelihatan betul dan tidak sepadan dengan apa-apa.

Baca pendengar daripada perkhidmatan yang berjalan, bukan daripada tutorial. Daemon yang terikat pada satu alamat tidak akan menerima trafik yang tiba pada alamat lain.

Hadkan sumber kepada julat klien yang dibenarkan reka bentuk, bukan seluruh internet.

Kumpulan keselamatan bersifat stateful; ACL subnet tidak

Kumpulan keselamatan bersifat stateful dan hanya membenarkan: aliran masuk yang dibenarkan mendapat balasannya secara automatik, dan tiada peraturan penolakan untuk difikirkan. ACL subnet bersifat stateless dan dinilai dalam kedua-dua arah, jadi kebenaran masuk tanpa julat efemeral keluar yang sepadan masih gagal. Perbezaan itu menjelaskan banyak peraturan yang kelihatan betul dalam konsol.

Pastikan juga dasar mana yang dilampirkan pada titik akhir yang berjalan, kerana satu instans boleh mempunyai lebih daripada satu kumpulan dan peraturan dalam kumpulan yang tidak dilampirkan tidak mengubah apa-apa.

Dasar berkesan ialah gabungan yang dilampirkan, bukan fail yang anda sunting.

Firewall hos ialah sempadan berasingan

Dasar awan membenarkan trafik ke antara muka rangkaian, kemudian sistem pengendalian menentukan sama ada daemon melihatnya. Firewall hos dengan dasar tolak lalai akan menggugurkan paket yang dibenarkan kumpulan keselamatan, dan konsol awan tidak akan menunjukkan penolakan kerana ia tidak pernah mempunyai pendapat. Semak kedua-duanya, mengikut urutan paket menemui mereka.

Jika hos menggunakan antara muka hadapan firewall edaran, sahkan peraturan asas bukan nama profil, kerana profil boleh aktif sementara port ditutup.

Tangkapan pada antara muka memberitahu anda sempadan mana yang menggugurkan paket.

Membenarkan pendengar bukan menghalakan klien

Get laluan VPN yang meneruskan trafik klien memerlukan lebih daripada port terbuka. Ia memerlukan penghantaran IP, dasar yang membenarkan aliran dari antara muka terowong ke rangkaian destinasi, dan selalunya semakan sumber-destinasi yang dimatikan pada antara muka supaya platform tidak membuang trafik yang tidak dialamatkan kepadanya. Tiada satu pun daripada itu dicipta oleh peraturan pendengar.

Di sinilah jabat tangan yang berfungsi dan laluan data yang rosak berpisah, dan itulah sebabnya status terowong boleh kelihatan sihat sedangkan tiada apa-apa dimuatkan.

Betulkan penghalakan sebagai perubahan berasingan dengan pengesahannya sendiri, dan catat bahawa get laluan yang meneruskan juga memerlukan dasar keluar yang membenarkan destinasi.

Kekalkan laluan pulang, kemudian sempitkan peraturan

Sebelum menukar dasar firewall jauh, pastikan wujud laluan pengurusan bebas, seperti pengurus sesi, konsol bersiri atau rangkaian di luar jalur. Jika satu-satunya laluan pengurusan melalui peraturan yang anda sunting, anda tiada pemulihan. Kemudian gunakan peraturan sempit, uji daripada klien sebenar, dan kaitkan percubaan dengan bukti di sebelah pelayan. Jawapan daripada perkhidmatan lain pada mesin yang sama bukan bukti bahawa pendengar dicapai.

Buang sebarang kebenaran luas eksperimen sebaik sahaja yang sempit berfungsi, dan catat mengapa peraturan itu wujud. AWS mendokumenkan kelakuan stateful kumpulan keselamatan, dan dokumen itulah yang perlu dipetik apabila seseorang mencadangkan julat luas sebagai jalan pintas.

Dokumenkan juga lampiran itu, jika tidak antara muka pengganti akan kehilangan dasar itu secara senyap.