Ir-regoli tal-AWS Client VPN jappartjenu lir-riżors, mhux lis-subnet

Il-persunal irid jilħaq applikazzjoni waħda fil-VPC u m'għandux jilħaq is-semmiegħa tad-database fuq l-istess istanza, għalhekk xi ħadd iżid it-tieni subnet pubbliku għall-endpoint tal-VPN u jgħid li r-rekwiżit ġie sodisfatt. Il-post tas-subnet ibiddel ir-routing u d-disponibbiltà. Ma jagħtix u ma jċaħħadx saħansitra port wieħed. Il-permess li jesprimi r-rekwiżit jgħix fid-destinazzjoni, fil-grupp tas-sigurtà tar-riżors, u l-fruntiera tal-VPN tipprovdi l-pumi li r-regola tirreferi għalih.

Il-post tas-subnet huwa routing, mhux awtorizzazzjoni

Fejn tinsab l-assoċjazzjoni tan-netwerk tal-endpoint jiddeċiedi liema tabella tar-rotot iġġorr it-traffiku tal-klijenti u liema żoni tad-disponibbiltà jgħaddu minn falliment. Ma jgħid xejn dwar liema port fuq liema istanza jista' jilħaq dak it-traffiku. Żewġ klijenti assoċjati mal-istess subnet xorta jaslu bl-istess identità tas-sors, u r-riżors ma jistax jiddistingwihom bl-isem tas-subnet.

Ibda mir-rekwiżit: min iċempel, liema riżors, liema port tas-servizz u liema direzzjoni. Imbagħad agħżel il-mudell tar-regola li jista' jesprimi dawk l-erba' affarijiet fid-destinazzjoni. Dan il-qafas normalment ineħħi s-subnet żejjed mid-disinn għal kollox.

Il-grupp tal-assoċjazzjoni tal-Client VPN huwa l-pumi

Għal endpoint tal-AWS Client VPN assoċjat ma' subnet, l-arranġament dokumentat huwa speċifiku. Applika l-grupp tas-sigurtà maħsub għall-assoċjazzjonijiet tan-netwerk fil-mira tal-endpoint, imbagħad ippermetti t-traffiku meħtieġ fil-grupp tas-sigurtà tar-riżors billi tuża dak il-grupp tal-Client VPN bħala sors.

B'mod konkret, il-grupp tal-istanza tal-applikazzjoni jippermetti l-port tal-applikazzjoni mill-grupp tal-assoċjazzjoni, u xejn aktar. Il-proċedura tal-aċċess għar-riżors tal-AWS tiddeskrivi dik ir-relazzjoni, u jiswa li tinżamm l-istess politika tal-grupp fuq kull subnet li l-endpoint jassoċja miegħu, għax assoċjazzjoni antika ma' grupp differenti twessa' l-fruntiera bil-kwiet.

Dik ir-regola ma tawtentikax lil ħadd. Id-dħul huwa kontroll separat, u t-triq lejn ir-riżors hija t-tielet waħda. It-tlieta jridu jkunu veri qabel tasal talba. Liema tfalli tiddetermina liema korrezzjoni hija t-tajba, u bidla fir-regola hija t-tweġiba t-tajba biss għall-ewwel waħda.

X'ma jistax jiddistingwi grupp wieħed tal-assoċjazzjoni

Kull klijent wara l-istess grupp tal-assoċjazzjoni jilħaq ir-riżors bħala l-istess sors tal-grupp tas-sigurtà. Żewġ utenti b'rwoli differenti mhumiex jistgħu jiġu distiniti f'dak il-livell, tkun kif tkun imsemmija jew ittikkjata l-grupp. L-awtorizzazzjoni tal-gruppi esterni tal-Client VPN tillimita l-aċċess bil-prefiss tad-destinazzjoni għal grupp ta' direttorju jew SAML, li huwa aktar oħxon minn rwol tar-riżors u għandu jiġi trattat bħala fruntiera tan-netwerk, mhux bħala sistema tal-identità.

Id-differenzi aktar fini jappartjenu lill-applikazzjoni. Semmiegħa tad-database li trid tibqa' magħluqa għall-biċċa l-kbira tal-persunal hija mħarsa aħjar billi ma tkunx tista' tinqala' xejn fuq il-prefiss permess milli billi nittamaw li s-sħubija fil-grupp tibqa' nadifa.

Li tibdel l-isem tal-grupp ma joħloqx identità, u li tiddubplikah għal kull tim iżid biss l-assoċjazzjonijiet li jridu jiġu awditjati.

Tikkupjax dik ir-regola f'kull disinn tal-VPN

Gradil EC2 VPN li jamministra lilu nnifsu, apparat tal-ispezzjoni bir-rotot u Client VPN amministrat huma tliet mogħdijiet tal-pakketti differenti. Stabbilixxi liema indirizz tas-sors fil-fatt jilħaq ir-riżors, jekk issirx traduzzjoni fin-nofs u liema mekkaniżmi ta' referenza tappoġġja s-servizz fuq dik it-triq.

Li tgħaddi t-traffiku minn apparat intermedju ma jżommx referenza tal-grupp tas-sigurtà tas-sors kif jagħmel it-traffiku dirett bejn l-istanzi. L-AWS tiddokumenta li disinni bħal dawn jistgħu jkollhom bżonn l-indirizzi tas-sors privati jew is-CIDR xierqa minflok referenza tal-grupp. Il-proċedura tal-Client VPN amministrat mhijiex prova li l-grupp imwaħħal ma' kull gradil jaħdem bħala token tal-identità universali għall-pakketti mibgħuta.

Qabża waħda tan-NAT fit-triq biżżejjed biex tikser is-suppożizzjoni, u l-falliment jidher bħal regola li teżisti imma qatt ma taqbel.

Irrevedi l-fruntiera effettiva

Aqra kull grupp tas-sigurtà mwaħħal mar-riżors, għax ir-regoli tal-permess jingħaqdu u regola dejqa ma tħassarx waħda usa' fuq grupp ieħor. Imbagħad iċċekkja l-ACL tan-netwerk, il-firewall tal-host u l-awtorizzazzjoni tal-applikazzjoni stess, li huma saffi separati bi żbalji separati.

Iffinalizza b'talba permessa u waħda eskluża apposta kontra l-istess riżors. Il-par jipprova l-fruntiera, filwaqt li konnessjoni waħda b'suċċess tipprova biss li xi ħaġa hija miftuħa. Ikkonferma t-triq, is-sors effettiv u l-port tas-servizz maħsub, mhux is-subnet li fih l-endpoint.

L-ordni tax-xogħol: ikteb ir-rekwiżit f'erba' partijiet, waħħal il-grupp mal-assoċjazzjonijiet, illimita r-regola tar-riżors għall-port, ivverifika permess wieħed u ċaħda waħda, u biss imbagħad ikkunsidra li taqsam is-subnets għal raġunijiet ta' routing.