Grupp tas-sigurtà fil-cloud għal VPN: iftaħ is-semmiegħa, mhux kollox

Is-server VPN qed jaħdem, il-klijent jiskadi, u l-ewwel reazzjoni hija li żżid regola li tippermetti kollox mal-grupp tas-sigurtà. Xi drabi dan jagħmilha taħdem, u dan huwa l-agħar riżultat, għax issa ħadd ma jaf liema fruntiera ngħalqet tassew. Erba' filtri separati jinsabu bejn il-klijent u d-daemon, u wieħed biss minnhom huwa l-grupp tas-sigurtà.

Semmi l-protokoll qabel ir-regola

Regola hija protokoll, firxa ta' portijiet u sors. WireGuard jisma' fuq UDP, normalment 51820. OpenVPN normalment huwa UDP jew TCP 1194 skont il-konfigurazzjoni. IPsec jeħtieġ l-iskambju IKE fuq UDP 500 u 4500 flimkien mal-protokoll ESP innifsu, li huwa numru ta' protokoll u mhux port. Li taħseb TCP għax ir-regoli l-oħra huma TCP hija kif wieħed jispiċċa b'regola li tidher tajba u ma taqbel ma' xejn.

Aqra s-semmiegħa mis-servizz li qed jaħdem, mhux minn tutorial. Daemon marbut ma' indirizz wieħed mhux se jaċċetta traffiku li jasl b'indirizz ieħor.

Illimita s-sors għall-firxa tal-klijenti li tippermetti d-disinn, minflok l-internet kollu.

Il-gruppi tas-sigurtà għandhom stat; l-ACLs tas-subnet le

Il-gruppi tas-sigurtà għandhom stat u jippermettu biss: fluss dieħel permess jirċievi t-tweġibiet tiegħu awtomatikament, u m'hemmx regola ta' ċaħda biex taħseb dwarha. L-ACLs tas-subnet m'għandhomx stat u jiġu evalwati fiż-żewġ direzzjonijiet, għalhekk permess dieħel mingħajr il-firxa effimera ħierġa korrispondenti xorta jonqos. Din id-differenza tispjega ħafna regoli li jidhru korretti fil-console.

Ivverifika wkoll liema politika hija mehmuża mal-endpoint li qed jaħdem, għax istanza jista' jkollha aktar minn grupp wieħed u regola fi grupp mhux mehmuż ma tbiddel xejn.

Il-politika effettiva hija l-għaqda ta' dak li huwa mehmuż, mhux il-fajl li editjajt.

Il-firewall tal-host huwa fruntiera separata

Il-politika tal-cloud tammetti t-traffiku sal-interface tan-netwerk, u mbagħad is-sistema operattiva tiddeċiedi jekk id-daemon jarahx. Firewall tal-host b'politika ta' ċaħda default se jwaddab pakkett li l-grupp tas-sigurtà kien ippermetta, u l-console tal-cloud ma turi l-ebda ċaħda għax qatt ma kellha opinjoni. Iċċekkja t-tnejn, fl-ordni li fiha l-pakkett jiltaqa' magħhom.

Jekk il-host juża frontend tal-firewall tad-distribuzzjoni, ivverifika r-regoli bażiċi minflok l-isem tal-profil, għax profil jista' jkun attiv waqt li l-port huwa magħluq.

Qabda fuq l-interface tgħidlek liema fruntiera waddbet il-pakkett.

Li tippermetti s-semmiegħa mhuwiex li tirrotta l-klijenti

Gateway VPN li jgħaddi t-traffiku tal-klijenti jeħtieġ aktar minn port miftuħ. Jeħtieġ trasferiment IP, politika li tippermetti l-fluss mill-interface tat-tunnel għan-netwerk tad-destinazzjoni, u spiss verifika tas-sors u d-destinazzjoni mitfija fuq l-interface sabiex il-pjattaforma ma twaddabx traffiku li mhux indirizzat lilha. Xejn minn dan ma jinħoloq mir-regola tas-semmiegħa.

Hawn jifirdu handshake li jaħdem u mogħdija tad-dejta miksura, u għalhekk l-istat tat-tunnel jista' jidher b'saħħtu waqt li xejn ma jgħabbi.

Sejjaħ ir-routing bħala bidla separata bil-verifika tagħha stess, u innota li gateway li jgħaddi jeħtieġ ukoll politika tal-ħruġ li tippermetti d-destinazzjoni.

Żomm triq lura, imbagħad dejjaq ir-regola

Qabel ma tbiddel il-politika tal-firewall mill-bogħod, ikkonferma li teżisti triq tal-ġestjoni indipendenti, bħal manager tas-sessjonijiet, console serjali jew netwerk barra mill-firxa. Jekk l-unika triq tal-ġestjoni tgħaddi mir-regola li qed teditja, m'għandekx irkupru. Imbagħad applika r-regola dejqa, ipprova minn klijent veru, u qabbel il-prova mal-evidenza fuq in-naħa tas-server. Tweġiba minn servizz ieħor fuq l-istess magna mhijiex prova li s-semmiegħa ntlaħqet.

Neħħi kwalunkwe permess wiesa' sperimentali hekk kif jaħdem dak dejjaq, u innota għaliex teżisti r-regola. AWS tiddokumenta l-imġiba b'stat tal-gruppi tas-sigurtà, u dak id-dokument huwa dak li għandu jiġi ċċitat meta xi ħadd jipproponi firxa wiesgħa bħala short cut.

Iddokumenta wkoll it-twaħħil, inkella interface sostituta titlef il-politika bil-kwiet.