Peraturan EC2 khusus VPN: setiap kumpulan keselamatan yang dilampirkan mesti bersetuju

Anda menambah satu peraturan masuk untuk kolam klien VPN, tidak mengalih keluar apa-apa, dan perkhidmatan masih boleh dicapai dari internet. Tiada apa yang rosak. Kumpulan keselamatan tidak mempunyai pengatasi, keutamaan atau penafian akhir yang boleh dikalahkan oleh peraturan sempit itu. Setiap kumpulan yang dilampirkan pada instans menyumbang kebenarannya sendiri kepada satu set gabungan, dan peraturan luas yang anda lupakan masih ada dalam set itu. Menjadikan instans khusus VPN bermakna mengaudit semuanya, bukan menambah peraturan yang lebih sedap didengar pada salah satunya.

Tuliskan perkhidmatan sebelum menulis peraturan

Mulakan dengan destinasi, protokol dan port yang tepat, serta antara muka rangkaian tempat perkhidmatan benar-benar mendengar. Instans dengan beberapa antara muka atau beberapa perkhidmatan pada satu port memerlukan audit bagi setiap antara muka, kerana kumpulan yang dilampirkan mungkin berbeza. Kemudian tentukan alamat sumber mana yang benar-benar diterima antara muka itu untuk pengguna VPN, bukannya alamat yang ditunjukkan klien dalam tetingkap sambungannya sendiri.

Kedua-dua alamat itu menyimpang lebih kerap daripada yang dijangka orang sebaik sahaja penterjemahan dan penghalaan terlibat.

Tiga model sumber, tiga peraturan berbeza

Dengan akses berpenghalaan persendirian, instans menerima kolam klien atau julat korporat, bergantung pada cara laluan dihalakan dan diterjemah. Dengan titik akhir awam yang dicapai melalui keluar korporat, instans melihat alamat NAT korporat sebaliknya, dan hanya jika destinasi itu benar-benar menggunakan laluan VPN, kerana terowong berpecah boleh membiarkannya pada sambungan rumah. Dengan titik akhir Client VPN terurus, model persatuan dan rangkaian sasaran yang didokumenkan terpakai, dan alamat klien datang daripada CIDR klien yang dikonfigurasikan.

Yang tidak berkesan ialah merujuk gerbang VPN sebagai sumber kumpulan keselamatan. Rujukan kumpulan sepadan dengan antara muka rangkaian elastik dalam VPC atau rangkaian yang di-peer, dan gerbang yang memajukan paket bukan salah satunya.

Baca kesatuan merentas setiap kumpulan yang dilampirkan

Buka instans, cari antara muka rangkaiannya, dan senaraikan setiap kumpulan keselamatan yang dilampirkan padanya. Bagi setiap satu, periksa setiap peraturan yang meliputi protokol dan port anda, termasuk julat port yang luas dan kedua-dua keluarga alamat. Peraturan IPv4 dari 0.0.0.0/0 tidak melepaskan anda daripada memeriksa ::/0, dan peraturan yang membenarkan semua trafik menyembunyikan persoalan port sepenuhnya. Hanya selepas inventori itu anda boleh mengatakan apakah kebenaran berkesan untuk perkhidmatan itu.

Rujukan peraturan AWS menerangkan kumpulan keselamatan sebagai hanya-membenarkan dan menyatakan bahawa peraturan daripada semua kumpulan yang dilampirkan digabungkan, dan itulah keseluruhan mekanisme di sebalik kegagalan ini.

ACL rangkaian ialah dasar berasingan dan tanpa keadaan dengan entri benarkan dan tolak yang tersusun, dan ia dinilai pada subnet, bukan pada instans.

Jangan jawab dengan tembok penafian

Menambah penafian NACL seluruh subnet untuk meniru firewall yang biasa anda gunakan ialah alat yang salah dan berisiko. Entri NACL tersusun dan tanpa keadaan, jadi penafian yang diletakkan di atas kebenaran sedia ada senyap memecahkan trafik tidak berkaitan, termasuk laluan balik bagi sesi yang anda cuba kekalkan. Betulkan kebenaran kumpulan keselamatan yang luas dalam kumpulan yang memilikinya, kemudian biarkan ACL melainkan ia benar-benar sebahagian daripada reka bentuk.

Mengalih keluar alamat awam daripada instans ialah jaminan yang lebih kukuh, dan ia juga perubahan seni bina dengan kesan pentadbiran dan aplikasi, bukan kotak semak pada senarai kebenaran.

Uji dengan sesi baharu dan kekalkan cara untuk masuk

Sebelum menarik balik mana-mana kebenaran sedia ada, sahkan laluan pentadbiran bebas yang diluluskan, kerana peraturan yang akan anda padamkan mungkin yang menjadi asas pemulihan sesi anda. Kemudian uji sambungan dibenarkan yang baharu dari VPN dan sambungan ditolak yang baharu dari laluan ujian bukan VPN yang dibenarkan. Sesi yang dijejaki sedia ada bertahan melalui perubahan peraturan dengan cara yang menjadikan shell terbuka lama tidak berguna sebagai bukti penerimaan.

Akhir sekali, kekalkan kebenaran aplikasi itu sendiri. Keluar korporat yang diterjemah boleh mewakili ratusan orang, dan kemasukan rangkaian tidak pernah mengenal pasti pengguna individu atau perantinya.