Regola EC2 għall-VPN biss: kull grupp tas-sigurtà imwaħħal irid jaqbel

Żżid regola waħda tad-dħul għall-pool tal-klijenti VPN, ma tneħħi xejn, u s-servizz għadu jintlaħaq mill-internet. Xejn mhu maqsum. Grupp tas-sigurtà m'għandux override, priorità jew ċaħda finali li r-regola dejqa tista' tirbaħ kontrihom. Kull grupp imwaħħal mal-istanza jikkontribwixxi l-permessi tiegħu stess għal sett wieħed magħqud, u r-regola wiesgħa li ntmentajt għadha f'dak is-sett. Li tagħmel l-istanza VPN biss ifisser li tawditja kollha, mhux li żżid regola li tinstema' aħjar ma' waħda minnhom.

Ikteb is-servizz qabel ma tikteb ir-regola

Ibda mid-destinazzjoni eżatta, il-protokoll u l-port, u l-interface tan-netwerk li fuqha s-servizz verament jisma'. Istanza b'diversi interfaces jew diversi servizzi fuq port wieħed teħtieġ l-awditjar għal kull interface, għax il-gruppi mwaħħla jistgħu jkunu differenti. Imbagħad iddetermina liema indirizz tas-sors dik l-interface verament tirċievi għal utent VPN, minflok l-indirizz li l-klijent juri fit-tieqa tal-konnessjoni tiegħu stess.

Dawn iż-żewġ indirizzi jiddiverġu aktar ta' spiss milli jistennew in-nies ladarba jidħlu t-traduzzjoni u r-routing.

Tliet mudelli tas-sors, tliet regoli differenti

B'aċċess privat routjat, l-istanza tirċievi l-pool tal-klijenti jew il-firxa korporattiva, skont kif il-mogħdija tiġi routjata u tradotta. B'endpoint pubbliku li jintlaħaq permezz tal-ħruġ korporattiv, l-istanza tara minflok l-indirizz NAT korporattiv, u biss jekk dik id-destinazzjoni verament tuża l-mogħdija VPN, għax it-tunnelling maqsum jista' jħalliha fuq konnessjoni tad-dar. B'endpoint Client VPN immaniġġjat, japplika l-mudell dokumentat tal-assoċjazzjoni u n-netwerk fil-mira, u l-indirizz tal-klijent jiġi mill-CIDR tal-klijent ikkonfigurat.

Dak li ma jaħdimx huwa li tirreferi gateway VPN bħala sors ta' grupp tas-sigurtà. Ir-referenzi tal-grupp jaqblu ma' interfaces tan-netwerk elastika ġewwa l-VPC jew netwerk peer, u gateway li tgħaddi pakketti mhijiex waħda minnhom.

Aqra l-unjoni fil-gruppi kollha mwaħħla

Iftaħ l-istanza, sib l-interface tan-netwerk tagħha, u elenka kull grupp tas-sigurtà mwaħħal magħha. Għal kull wieħed, iċċekkja kull regola li tkopri l-protokoll u l-port tiegħek, inklużi firxiet wesgħin tal-ports u ż-żewġ familji tal-indirizzi. Regola IPv4 minn 0.0.0.0/0 ma teħliskx mill-verifika ta' ::/0, u regola li tippermetti t-traffiku kollu taħbi l-kwistjoni tal-port għal kollox. Biss wara dan l-inventarju tista' tgħid x'inhu l-permess effettiv għas-servizz.

Ir-referenza tar-regoli tal-AWS tiddeskrivi l-gruppi tas-sigurtà bħala li jippermettu biss u tgħid li r-regoli mill-gruppi kollha mwaħħla jiġu aggregati, u dan huwa l-mekkaniżmu kollu wara dan il-falliment.

L-ACLs tan-netwerk huma politika separata u mingħajr stat b'daħliet ordnati ta' permess u ċaħda, u jiġu evalwati fuq is-subnet u mhux fuq l-istanza.

Tweġibx b'ħajt ta' ċaħdiet

Li żżid ċaħda NACL madwar is-subnet biex timita firewall li inti mdorri bih hija l-għodda ħażina u waħda riskjuża. Id-daħliet NACL huma ordnati u mingħajr stat, għalhekk ċaħda mqiegħda fuq permess eżistenti tkisser bil-kwiet traffiku mhux relatat, inkluż il-mogħdija lura għas-sessjonijiet li kont qed tipprova żżomm. Sejjaħ il-permess wiesa' tal-grupp tas-sigurtà fil-grupp li jippossedih, u mbagħad ħalli l-ACL waħdu sakemm mhuwiex verament parti mid-disinn.

Li tneħħi indirizz pubbliku mill-istanza hija garanzija aktar b'saħħitha, u hija wkoll bidla arkitettonika b'konsegwenzi amministrattivi u tal-applikazzjoni, mhux kaxxa tal-verifika fuq lista ta' permessi.

Ittestja b'sessjoni ġdida u żomm mod kif tidħol

Qabel ma tirtira kwalunkwe permess eżistenti, ikkonferma mogħdija amministrattiva indipendenti approvata, għax ir-regola li wasalt biex tħassar tista' tkun dik li fuqha tiddependi l-irkupru tas-sessjoni tiegħek. Imbagħad ittestja konnessjoni permessa ġdida mill-VPN u konnessjoni miċħuda ġdida minn mogħdija tat-test awtorizzata mhux VPN. Is-sessjonijiet traċċati eżistenti jgħaddu minn bidliet fir-regoli b'modi li jagħmlu l-qxur miftuħin qodma inutli bħala prova ta' aċċettazzjoni.

Fl-aħħar, żomm l-awtorizzazzjoni tal-applikazzjoni stess f'postha. Ħruġ korporattiv tradott jista' jirrappreżenta mijiet ta' nies, u d-dħul fin-netwerk qatt ma identifika utent individwali jew il-mezz tiegħu.