د EC2 لپاره یوازې VPN قاعده: هره نښلول شوې امنیتي ډله باید موافقه وکړي

تاسو د VPN د کليانټ حوض لپاره یوه داخله قاعده ورزیاتوئ، هیڅ نه لرې کوئ، او خدمت لا هم له انټرنېټ څخه د لاسرسي وړ دی. هیڅ شی خراب نه دی. د امنیتي ډلې لپاره داسې کوم اووررایډ، لومړیتوب یا وروستی انکار نشته چې نرړه قاعده پرې بریالي شي. هره ډله چې انسټنسی ته نښلول شوې ده، خپلې اجازې یوې یوځای شوې ټولګې ته ورزیاتوي، او هغه پراخه قاعده چې تاسو هیر کړې ده لا هم په هماغه ټولګه کې ده. انسټنسی یوازې-VPN کول پدې معنا دي چې ټولې وڅیړل شي، نه دا چې یوې ته ښه غږېدونکې قاعده ورزیات شي.

مخکې لدې چې قاعده ولیکئ، خدمت ولیکئ

له دقیق هدف، پروتوکول او پورټ څخه پیل وکړئ، او همدارنګه له هغه شبکې انټرفېس چې خدمت واقعاً پرې اورېدل کوي. هغه انسټنسی چې څو انټرفېسونه یا په یوه پورټ څو خدمتونه لري، د هر انټرفېس لپاره څیړنې ته اړتیا لري، ځکه چې نښلول شوې ډلې کېدای شي توپیر ولري. بیا وټاکئ چې هغه انټرفېس د VPN کارن لپاره واقعاً کومه سرچینه پته ترلاسه کوي, نه هغه پته چې کليانټ په خپله د اړیکې کړکۍ کې ښیي.

دا دوه پتې هغه وخت چې ژباړه او لارښوونه راشي، ډېری وختونه له هغې څخه توپیر لري چې خلک یې تمه کوي.

درې د سرچینې ماډلونه، درې بېلابېلې قاعدې

د خصوصي لارښوول شوې لاسرسي سره، انسټنسی د کليانټ حوض یا د شرکت حد ترلاسه کوي، په دې پورې اړه لري چې لاره څنګه لارښوول او ژباړل کیږي. د شرکت د وتلو له لارې د رسېدونکي عامې پاینقطې سره، انسټنسی پرځای د شرکت NAT پته ګوري، او یوازې هغه وخت که هغه هدف واقعاً د VPN لاره کاروي، ځکه چې ووېشل شوې تونل کول کېدای شي دا په کورنۍ اړیکه کې پرېږدي. د مدیریت شوې Client VPN پاینقطې سره، مستند شوی د تړون او هدف شبکې ماډل پلي کیږي، او د کليانټ پته له ترتیبل شوې کليانټ CIDR څخه راځي.

هغه څه چې کار نه کوي، د VPN دروازې ته د امنیتي ډلې د سرچینې په توګه اشاره کول دي. د ډلې اشارې د VPC یا جوړې شوې شبکې دننه انعطاف منونکې شبکې انټرفېسونو سره سمون خوري، او هغه دروازه چې بنډلونه لېږدوي، د هغوی یوه نه ده.

په هره نښلول شوې ډله کې اتحاد ولولئ

انسټنسی پرانیزئ، د هغې شبکه انټرفېس ومومئ، او هره هغه امنیتي ډله ولیکئ چې ورسره نښلول شوې ده. د هرې یوې لپاره، هره قاعده چې ستاسو پروتوکول او پورټ پوښي وګورئ، په دې کې پراخه پورټ حدونه او دواړه پتې کورنۍ شاملې دي. له 0.0.0.0/0 څخه IPv4 قاعده تاسو د ::/0 له ګوتو کولو نه معاف نه کوي، او هغه قاعده چې ټول ترافیک اجازه ورکوي د پورټ پوښتنه په بشپړه توګه پټوي. یوازې د دې لیست وروسته تاسو کولی شئ ووایئ چې د خدمت لپاره اغېزمنه اجازه څه ده.

د AWS د قاعدو مرجع امنیتي ډلې یوازې-اجازه ورکوونکې بیانوي او وایي چې د ټولو نښلول شوو ډلو قاعدې یوځای کیږي، او دا د دې ناکامۍ شاته ټول میکانیزم دی.

د شبکې ACL یوه جلا، بې حالت تګلاره ده چې ترتیب شوې اجازه او انکار ننوتنې لري، او په سبنټ کې ارزول کیږي، نه په انسټنسی.

د انکار دېوال سره ځواب مه ورکوئ

د سبنټ په کچه د NACL انکار ورزیاتول ترڅو هغه فایر وال نقل کړئ چې تاسو ورته عادت یاست، غلط وسیله ده او خطرناکه. د NACL ننوتنې ترتیب شوې او بې حالته دي، نو هغه انکار چې د موجودې اجازې پورته کیښودل شي، بې اړیکه ترافیک په خاموشۍ ماتوي، په دې کې د هغو ناستو د بېرته راتلو لاره چې تاسو یې ساتل غوښتل. پراخه د امنیتي ډلې اجازه په هغه ډله کې سمه کړئ چې مالکیت یې لري، بیا ACL ته لاس مه ورکوئ پرته لدې چې واقعاً د ډیزاین برخه وي.

له انسټنسی څخه عامه پته لرې کول پیاوړې تضمین دی، او دا هغه معماري بدلون هم دی چې اداري او تطبیقي پایلې لري، نه د اجازې لیست کې یوه چیک بکس.

په نوې ناسته ازموینه وکړئ او د ننوتلو لاره وساتئ

مخکې لدې چې کومه موجوده اجازه لغوه کړئ، یو تصویب شوی خپلواک اداري لار تایید کړئ، ځکه هغه قاعده چې تاسو یې د حذفولو په حال کې یاست کېدای شي هغه وي چې ستاسو د ناستې بیا رغونه پرې تکیه ده. بیا له VPN څخه نوې اجازه شوې اړیکه او له تصویب شوې غیر VPN ازموینې لارې څخه نوې انکار شوې اړیکه ازموئ. موجودې تعقیب شوې ناستې د قاعدو بدلونونه په داسې ډول تېروي چې زاړه پرانیستې شېلونه د منلو د شاهد په توګه بې ګټې کوي.

په پای کې، د غوښتنلیک خپله اجازه په خپل ځای کې وساتئ. ژباړل شوی شرکت وتل کېدای شي سلګونو خلکو استازیتوب وکړي، او شبکې ته ننوتل هېڅکله یو انفرادي کارن یا د هغه وسیله نه ده پیژندلې.