د VPN لپاره د کلاوډ امنیتي ګروپ: اورېدونکی پرانیزئ، نه هر څه

د VPN سرور روان دی، کاروونکی وخت تېروي، او لومړی غبرګون دا دی چې امنیتي ګروپ ته د هر څه اجازه ورکونکی قاعده ورزیاته کړو. دا کله ناکله کار کوي، او همدا تر ټولو بد نتیجه ده، ځکه اوس هیڅوک نه پوهېږي چې کومه پوله په رښتیا وتړل شوه. د کاروونکي او ډیمون ترمنځ څلور جلا فلټرونه دي، او یوازې یو یې امنیتي ګروپ دی.

له قاعدې مخکې پروتوکول ونوموئ

قاعده یعنې پروتوکول، د پورټونو ساحه او سرچینه. WireGuard پر UDP اوري، معمولاً 51820. OpenVPN معمولاً UDP یا TCP 1194 دی، د تنظیم پورې اړه لري. IPsec ته پر UDP 500 او 4500 د IKE تبادلې او همدارنګه ESP پروتوکول پخپله اړتیا ده، چې پورټ نه بلکې د پروتوکول شمېره ده. TCP اټکلول ځکه چې نورې قاعدې TCP دي، هغه قاعده جوړوي چې سمه ښکاري او له هیچا سره سمون نه خوري.

اورېدونکی له روان خدمت څخه ولولئ، نه له لارښود. یوې پتې ته تړلی ډیمون بلې پتې ته راتلونکی ټرافیک نه مني.

سرچینه پر ټول انټرنیټ پرځای هغې کاروونکو ساحې پورې محدوده کړئ چې ډیزاین یې اجازه ورکوي.

امنیتي ګروپونه حالت لري؛ د فرعي شبکې ACL نه لري

امنیتي ګروپونه حالت لري او یوازې اجازه ورکوي: اجازه لرونکی دننه بهېدونکی جریان خپل ځوابونه په خپله ترلاسه کوي، او د فکر کولو لپاره د رد کومه قاعده نشته. د فرعي شبکې ACL بې حالته دي او په دواړو لورو ارزول کېږي، نو د اړوند بهر وتونکي لنډمهاله ساحې پرته دننه اجازه بیا هم ناکامېږي. همدا توپیر ډېرې هغه قاعدې تشریح کوي چې په کنسول کې سمې ښکاري.

همدارنګه تایید کړئ چې کومه تګلاره له روان پای ټکي سره تړلې ده، ځکه یو مثال کولی شي له یوې ډېرې ډلې ولري او په نه تړلې ډله کې قاعده هیڅ نه بدلوي.

اغېزمنه تګلاره د تړل شویو یووالی دی، نه هغه فایل چې تاسو سم کړ.

د کوربه فایرول جلا پوله ده

د کلاوډ تګلاره ټرافیک تر شبکې انټرفیس پورې اجازه ورکوي، بیا عملیاتي سیستم پریکړه کوي چې ډیمون به یې وویني که نه. د کوربه فایرول چې د اصلي رد تګلاره لري هغه پاکټ غورځوي چې امنیتي ګروپ اجازه ورکړې وه، او کلاوډ کنسول هیڅ رد نه ښیي ځکه چې هېڅکله یې نظر نه درلود. دواړه وګورئ، په هغه ترتیب چې پاکټ ورسره مخ کېږي.

که کوربه د وېش فایرول مخکینۍ برخه کاروي، د پروفایل نوم پرځای بنسټیزې قاعدې تایید کړئ، ځکه پروفایل فعال کېدای شي په داسې حال کې چې پورټ تړلی وي.

پر انټرفیس نیول تاسو ته وایي چې کومې پولې پاکټ وغورځاوه.

اورېدونکي ته اجازه ورکول د کاروونکو لېږدول نه دي

هغه VPN دروازه چې د کاروونکو ټرافیک لېږدوي له پرانیستي پورټ ډېر څه ته اړتیا لري. IP لېږد، هغه تګلاره چې له تونل انټرفیس څخه د موخې شبکې ته بهېدنې اجازه ورکوي، او ډېری وخت پر انټرفیس بند شوې سرچینه-موخه کتنه غواړي، تر څو پلیټفارم هغه ټرافیک ونه غورځوي چې هغه ته ندی پتې شوی. له دې هېڅ یو هم د اورېدونکي قاعدې نه جوړېږي.

همدلته کاري لاس ورکول او ماتېدونکې ډېټا لار بېلېږي، او له همدې کبله د تونل حالت روغ ښکاري په داسې حال کې چې هېڅ نه بارېږي.

لېږدونه د خپلې کتنې سره جلا بدلون په توګه سم کړئ، او یادونه وکړئ چې لېږدونکې دروازه هم د وتلو تګلارې ته اړتیا لري چې موخې ته اجازه ورکړي.

د بېرته راتلو لار وساتئ، بیا قاعده تنګه کړئ

له لېرې فایرول تګلارې د بدلولو مخکې تایید کړئ چې خپلواکه مدیریتي لار شته، لکه د غونډې مدیر، سریال کنسول یا له باندې بهر شبکه. که یوازینۍ مدیریتي لار هغې قاعدې ته واوړي چې تاسو سموم، بیا رغونه نه لرئ. بیا تنګه قاعده پلي کړئ، له ریښتیني کاروونکي ازموینه وکړئ، او هڅه له سرور اړخ شاهد سره وتړئ. پر هماغه ماشین د بل خدمت ځواب د دې شاهد نه دی چې اورېدونکي ته رسېدل شوي.

تنګه اجازه چې کله کار وکړ، هر ډول تجربوي پراخه اجازه لرې کړئ، او ولیکئ چې قاعده ولې شته. AWS د امنیتي ګروپونو حالت لرونکې چلند مستند کوي، او کله چې څوک پراخه ساحه د لنډې لارې په توګه وړاندیز کوي، هماغه سند باید حواله شي.

تړل هم مستند کړئ، که نه نو د بدلېدو انټرفیس به تګلاره په خاموشۍ له لاسه ورکړي.