د AWS Client VPN قواعد د سرچینې سره تړاو لري، نه د سبنيټ سره

کارکوونکي باید په VPC کې یو اپلیکیشن ته ورسېږي او باید په هماغه انسټنس کې د ډیټابیس اورېدونکي ته ونه رسېږي، نو یو څوک د VPN endpoint لپاره دوهم عامه سبنيټ اضافه کوي او اړتیا پوره شوې بولي. د سبنيټ ځای د لارښوونې او شتون بدلوي. دا یو هم پورټ نه ورکوي او نه منع کوي. هغه اجازه چې اړتیا څرګندوي په منزل کې، د سرچینې په امنیت ګروپ کې ده، او د VPN پوله هغه لاستی برابروي چې هغه قاعده ورته اشاره کوي.

د سبنيټ ځای لارښوونه ده، نه اجازه ورکول

چې د endpoint شبکه یوځای کېدل چېرې دي، دا ټاکي چې کومه لارښود جدول د کاروونکي ترافیک وړي او کوم د شتون زونونه د ناکامۍ په وړاندې پاتې کېږي. دا هېڅ نه وایي چې هغه ترافیک کولای شي په کوم انسټنس کې کوم پورټ ته ورسېږي. دوه کاروونکي چې له یوه سبنيټ سره یوځای شوي بیا هم په یوه سرچینه پېژندنه راځي، او سرچینه نشي کولای د سبنيټ نوم له مخې یې سره جلا کړي.

بلکې له اړتیا پیل وکړئ: څوک زنګ وهي، کومه سرچینه، کوم د خدمت پورټ او کوم لوری. بیا هغه قاعده ماډل وټاکئ چې هغه څلور شیان په منزل کې څرګندولی شي. دا چوکاټ معمولاً اضافي سبنيټ په بشپړه توګه له ډیزاین څخه لرې کوي.

د Client VPN یوځای کېدو ګروپ هماغه لاستی دی

د سبنيټ سره تړلي AWS Client VPN endpoint لپاره مستنده ترتیب ځانګړی دی. پام کې نیول شوی امنیت ګروپ د endpoint د هدف شبکې یوځای کېدو ته وکاروئ، بیا هغه Client VPN ګروپ د سرچینې په توګه کاروئ او د سرچینې په امنیت ګروپ کې اړین ترافیک اجازه کړئ.

په ځانګړي ډول، د اپلیکیشن انسټنس ګروپ د یوځای کېدو ګروپ څخه د اپلیکیشن پورټ اجازه ورکوي، او بل هیڅ نه. د AWS سرچینې ته د لاسرسي پروسیجر هغه اړیکه تشریح کوي، او دا د پام وړ ده چې په هر هغه سبنيټ کې چې endpoint ورسره یوځای کېږي یوه ګروپ پالیسي وساتل شي، ځکه چې له بل ګروپ سره پخوانی یوځای کېدل پوله په خاموشۍ پراخوي.

هغه قاعده هیچا تصدیق نه کوي. ننوتل جلا کنټرول دی، او سرچینې ته لاره درېیمه ده. درې واړه باید سم وي مخکې له دې چې غوښتنه ورسېږي. کوم یو چې ناکام شي هغه ټاکي چې کوم سمون سم دی، او د قاعدې بدلون یوازې د لومړي لپاره سم ځواب دی.

څه چې یو یوځای کېدو ګروپ نشي جلا کولای

د یوه یوځای کېدو ګروپ شاته هر کاروونکی سرچینې ته د هماغه امنیت ګروپ سرچینې په توګه رسېږي. دوه کاروونکي چې بېلابېل رولونه لري په هغه پوړ کې جلا کېدای نشي، که ګروپ هر څه ونومول شي یا ټاګ شي. د Client VPN بهرني ګروپ اجازه د لارښود یا SAML ګروپ لپاره د منزل مخکښ له مخې لاسرسی محدودوي، چې د سرچینې رول څخه زغره دی او باید د شبکې پولې په توګه وګڼل شي، نه د پېژندنې نظام په توګه.

نریز توپیرونه د اپلیکیشن دي. هغه د ډیټابیس اورېدونکی چې باید د ډېرو کارکوونکو لپاره بند پاتې شي، د ګروپ غړیتوب د سم پاتې کېدو هیلې پر ځای د دې له مخې چې په اجازه شوي مخکښ کې په بشپړه توګه نه لاسرسي وړ وي، ښه ساتل کېږي.

د ګروپ نوم بدلول پېژندنه نه جوړوي، او د هر ټیم لپاره یې کاپي کول یوازې د پلټنې وړ یوځای کېدل زیاتوي.

هغه قاعده په هر VPN ډیزاین کې کاپي مه کوئ

پخپله اداره شوی EC2 VPN ګېټوی، لارښود شوی پلټنې وسیله او اداره شوی Client VPN درې بېلابېلې بستې لارې دي. وټاکئ چې کومه سرچینه پته په رښتیا سرچینې ته رسېږي، آیا په منځ کې ژباړه کېږي، او خدمت په هغه لاره کې کومې راجع کېدنې طریقې ملاتړ کوي.

ترافیک د منځني وسیلې له لارې تېرول د سرچینې امنیت ګروپ راجع کېدنه هغسې نه ساتي لکه مستقیم انسټنس-تر-انسټنس ترافیک. AWS مستند کوي چې دا ډول ډیزاینونه ممکن د ګروپ راجع کېدنې پر ځای اړوندې شخصي سرچینه پتې یا CIDR ته اړتیا ولري. د اداره شوي Client VPN پروسیجر دا ثبوت نه دی چې د هر ګېټوی نښلول شوی ګروپ د لېږل شوو بستو لپاره د نړیوالې پېژندنې ټوکن په توګه کار کوي.

په لار کې یو NAT ټوپ د انګېرنې ماتولو لپاره بس دی، او ناکامي داسې قاعده ښکاري چې شته خو هېڅکله نه برابريږي.

مؤثره پوله وګورئ

هر هغه امنیت ګروپ ولولئ چې له سرچینې سره نښلول شوی، ځکه چې د اجازې قواعد یوځای کېږي او تنګ قاعده د بل ګروپ پراخه قاعده نه لغوه کوي. بیا شبکه ACL، د هوسټ فایر وال او د اپلیکیشن خپله اجازه وګورئ، چې جلا پوړونه له جلا تېروتنو سره دي.

په یوه اجازه شوې او یوه په قصد ایستل شوې غوښتنه پای ته ورسئ د هماغه سرچینې پر وړاندې. هغه جوړه پوله ثبوتوي، پداسې حال کې چې یو بریالی تړون یوازې دا ثبوتوي چې یو څه خلاص دي. لار، مؤثره سرچینه او پام کې نیول شوی د خدمت پورټ تایید کړئ، نه هغه سبنيټ چې endpoint لري.

د کار ترتیب: څلور-برخه اړتیا ولیکئ، ګروپ یوځای کېدو ته ونښلوئ، د سرچینې قاعده پورټ ته محدوده کړئ، یوه اجازه او یوه رد تایید کړئ، او یوازې بیا د لارښوونې دلایلو لپاره د سبنيټونو وېش فکر وکړئ.