EC2-regel kun for VPN: hver tilknyttet sikkerhetsgruppe må være enig

Du legger til én inngående regel for VPN-klientpoolen, fjerner ingenting, og tjenesten er fortsatt tilgjengelig fra internett. Ingenting er ødelagt. En sikkerhetsgruppe har ingen overstyring, prioritet eller endelig avvisning som den smale regelen kan vinne mot. Hver gruppe som er tilknyttet instansen, bidrar med sine egne tillatelser til ett samlet sett, og den brede regelen du glemte, er fortsatt i det settet. Å gjøre instansen til kun-VPN betyr å revidere alle, ikke å legge til en bedre klingende regel på én av dem.

Skriv ned tjenesten før du skriver regelen

Start med den nøyaktige destinasjonen, protokollen og porten, og nettverksgrensesnittet tjenesten faktisk lytter på. En instans med flere grensesnitt eller flere tjenester på én port krever at revisjonen kjøres per grensesnitt, fordi de tilknyttede gruppene kan være forskjellige. Bestem deretter hvilken kildeadresse grensesnittet faktisk mottar for en VPN-bruker, i stedet for adressen klienten viser i sitt eget tilkoblingsvindu.

Disse to adressene avviker oftere enn folk forventer når oversettelse og ruting er involvert.

Tre kildemodeller, tre forskjellige regler

Med privat rutet tilgang mottar instansen klientpoolen eller bedriftsområdet, avhengig av hvordan banen rutes og oversettes. Med et offentlig endepunkt som nås via bedriftens utgang, ser instansen i stedet bedriftens NAT-adresse, og bare hvis destinasjonen faktisk bruker VPN-banen, siden delt tunnellering kan la den bli på en hjemmeforbindelse. Med et administrert Client VPN-endepunkt gjelder den dokumenterte modellen for tilknytning og målnettverk, og klientadressen kommer fra det konfigurerte klient-CIDR-et.

Det som ikke fungerer, er å referere til en VPN-gateway som kilde for en sikkerhetsgruppe. Gruppereferanser samsvarer med elastiske nettverksgrensesnitt i VPC-en eller i et peer-nettverk, og en gateway som videresender pakker er ikke en av dem.

Les foreningen på tvers av alle tilknyttede grupper

Åpne instansen, finn nettverksgrensesnittet og list opp hver sikkerhetsgruppe som er tilknyttet det. For hver av dem må du sjekke hver regel som dekker protokollen og porten din, inkludert brede portområder og begge adressefamiliene. En IPv4-regel fra 0.0.0.0/0 fritar deg ikke fra å sjekke ::/0, og en regel som tillater all trafikk skjuler portspørsmålet helt. Først etter den oversikten kan du si hva den effektive tillatelsen for tjenesten er.

AWS-regelreferansen beskriver sikkerhetsgrupper som kun-tillatende og sier at reglene fra alle tilknyttede grupper blir samlet, og det er hele mekanismen bak denne feilen.

Nettverks-ACL-er er en separat, tilstandsløs policy med ordnede tillatelses- og avvisningsoppføringer, og de evalueres på subnettet i stedet for på instansen.

Ikke svar med en avvisningsmur

Å legge til en subnettvid NACL-avvisning for å etterligne en brannmur du er vant til, er feil verktøy og risikabelt. NACL-oppføringer er ordnede og tilstandsløse, så en avvisning plassert over en eksisterende tillatelse bryter stille urelatert trafikk, inkludert returveien for øktene du prøvde å beholde. Rett opp den brede sikkerhetsgruppetillatelsen i gruppen som eier den, og la deretter ACL-en være i fred med mindre den virkelig er en del av designet.

Å fjerne en offentlig adresse fra instansen er en sterkere garanti, og det er også en arkitektonisk endring med administrative og applikasjonsmessige konsekvenser, ikke en avkrysningsboks på en tillatelsesliste.

Test med en ny økt og behold en vei inn

Før du avvikler en eksisterende tillatelse, bekreft en godkjent uavhengig administrasjonsvei, fordi regelen du er i ferd med å slette kan være den øktgjenopprettingen din avhenger av. Test deretter en ny tillatt tilkobling fra VPN-en og en ny avvist tilkobling fra en autorisert testvei uten VPN. Eksisterende sporede økter overlever regelendringer på måter som gjør gamle åpne skall ubrukelige som akseptbevis.

Til slutt, behold applikasjonens egen autorisasjon på plass. En oversatt bedriftsutgang kan representere hundrevis av mennesker, og nettverkstilgang har aldri identifisert en individuell bruker eller enheten deres.