AWS Client VPN-reglar høyrer til ressursen, ikkje subnettet

Tilsette må nå éin applikasjon i VPC-en og må ikkje nå databaseslyttaren på same instans, så nokon legg til eit ekstra offentleg subnett for VPN-endepunktet og seier kravet er oppfylt. Subnettplasseringa endrar ruting og tilgjenge. Ho gjev eller fråtek ikkje éin einaste port. Løyvet som uttrykkjer kravet, bur ved målet, i sikkerheitsgruppa til ressursen, og VPN-grensa leverer handtaket som regelen viser til.

Subnettplassering er ruting, ikkje autorisasjon

Kvar nettverkstilknytinga til endepunktet ligg, avgjer kva rutetabell som ber klienttrafikken og kva tilgjengesoner som overlever ein feil. Det seier ingenting om kva port på kva instans trafikken kan nå. To klientar tilknytte same subnett kjem framleis med same kjeldeidentitet, og ressursen kan ikkje skilje dei etter subnettnamn.

Start i staden frå kravet: kven kallar, kva ressurs, kva tenesteport og kva retning. Vel så regnmodellen som kan uttrykkje dei fire tinga ved målet. Den ramma fjernar som regel det ekstra subnettet heilt frå designet.

Client VPN-tilknytingsgruppa er handtaket

For eit subnett-tilknytt AWS Client VPN-endepunkt er den dokumenterte ordninga konkret. Bruk den tiltenkte sikkerheitsgruppa på målnettverkstilknytingane til endepunktet, og tillat deretter den nødvendige trafikken i sikkerheitsgruppa til ressursen med den Client VPN-gruppa som kjelde.

Konkret tillèt gruppa til applikasjonsinstansen applikasjonsporten frå tilknytingsgruppa, og ingenting anna. AWS sin prosedyre for ressurstilgang skildrar dette tilhøvet, og det er verdt å halde same gruppepolitikk på kvart subnett endepunktet tilknytest, fordi ei forelda tilknyting med ei anna gruppe stille utvidar grensa.

Den regelen autentiserer ingen. Innlogging er ein eigen kontroll, og ruta til ressursen er ein tredje. Alle tre må halde før ein førespurnad kjem. Den som sviktar avgjer kva retting som er riktig, og ei regelendring er berre det riktige svaret for den første.

Kva éi tilknytingsgruppe ikkje kan skilje

Kvar klient bak same tilknytingsgruppe når ressursen som same sikkerheitsgruppekjelde. To brukarar med ulike roller er ikkje til å skilje på det laget, uansett kva gruppa heiter eller er tagga. Client VPN sin autorisasjon av eksterne grupper avgrensar tilgang etter målprefiks for ei katalog- eller SAML-gruppe, noko som er grovare enn ei ressursrolle og bør handsamast som ei nettverksgrense, ikkje eit identitetssystem.

Finare skilnader høyrer til applikasjonen. Ein databaseslyttar som må haldast lukka for dei fleste tilsette, er betre verna ved ikkje å vere tilgjengeleg i det heile på det tillatne prefikset enn ved å håpe at gruppemedlemskapet held seg ryddig.

Å gje gruppa nytt namn skaper ikkje ein identitet, og å duplisere ho per team multipliserer berre tilknytingane som må reviderast.

Ikkje kopier den regelen til alle VPN-design

Ein sjølvadministrert EC2 VPN-gateway, eit ruta inspeksjonsapparat og administrert Client VPN er tre ulike pakkestiar. Fastset kva kjeldeadresse som faktisk når ressursen, om det skjer omsetjing undervegs, og kva referansemekanismar tenesta støttar på den stien.

Vidaresending av trafikk gjennom ein mellomlekk bevarer ikkje ein kjelde-sikkerheitsgruppereferanse slik direkte instans-til-instans-trafikk gjer. AWS dokumenterer at slike design kan trenge dei rette private kjeldeadressene eller CIDR-ar i staden for ein gruppereferanse. Prosedyren for administrert Client VPN er ikkje prov for at den tilknytte gruppa til kvar gateway fungerer som eit universelt identitetstoken for vidaresende pakkar.

Eitt NAT-hopp på stien er nok til å bryte føresetnaden, og feilen ser ut som ein regel som finst, men aldri stemmer.

Gå gjennom den effektive grensa

Les kvar sikkerheitsgruppe som er knytt til ressursen, fordi tillatingsreglar vert kombinerte og ein smal regel opphevar ikkje ein breiare på ei anna gruppe. Sjekk deretter nettverks-ACL-en, brannmuren til verten og eigen autorisasjon i applikasjonen, som er skilde lag med skilde feil.

Avslutt med éin tillaten og éin medvite utelaten førespurnad mot same ressurs. Paret provar grensa, medan éi vellukka tilkopling berre provar at noko er ope. Stadfest ruta, den effektive kjelda og den tiltenkte tenesteporten framfor subnettet som inneheld endepunktet.

Arbeidsrekkjefølgje: skriv det firedelte kravet, knyt gruppa til tilknytingane, avgrens ressursregelen til porten, verifiser éin tillating og éin avvising, og vurder først deretter å dele subnett av rutingsgrunnar.