Grupo de segurança na nuvem para uma VPN: abra o ouvinte, não tudo

O servidor VPN está a correr, o cliente expira e o primeiro impulso é adicionar ao grupo de segurança uma regra que permite tudo. Por vezes isso fá-lo funcionar, e é o pior resultado, porque agora ninguém sabe que fronteira foi realmente fechada. Existem quatro filtros separados entre o cliente e o daemon, e apenas um deles é o grupo de segurança.

Nomeie o protocolo antes da regra

Uma regra é um protocolo, um intervalo de portas e uma origem. O WireGuard escuta em UDP, normalmente 51820. OpenVPN é geralmente UDP ou TCP 1194, dependendo da configuração. O IPsec precisa da troca IKE em UDP 500 e 4500, além do próprio protocolo ESP, que é um número de protocolo e não uma porta. Adivinhar TCP porque as outras regras são TCP é como se obtém uma regra que parece correta e não corresponde a nada.

Leia o ouvinte do serviço em execução, não de um tutorial. Um daemon ligado a um endereço não aceitará tráfego que chegue a outro.

Restrinja a origem ao intervalo de clientes que o desenho permite, em vez de à internet inteira.

Os grupos de segurança têm estado; as ACL de sub-rede não

Os grupos de segurança têm estado e apenas permitem: um fluxo de entrada permitido recebe as respostas automaticamente, e não há qualquer regra de negação sobre a qual raciocinar. As ACL de sub-rede não têm estado e são avaliadas nos dois sentidos, pelo que uma permissão de entrada sem o intervalo efémero de saída correspondente continua a falhar. Essa diferença explica muitas regras que parecem corretas na consola.

Confirme também que política está associada ao endpoint em execução, pois uma instância pode ter mais de um grupo e uma regra num grupo não associado não muda nada.

A política efetiva é a união do que está associado, não o ficheiro que editou.

O firewall do host é uma fronteira separada

A política da nuvem admite o tráfego até à interface de rede, e depois o sistema operativo decide se o daemon o vê. Um firewall do host com política de negação predefinida descartará um pacote que o grupo de segurança permitiu, e a consola da nuvem não mostrará qualquer negação porque nunca teve opinião. Verifique ambos, na ordem em que o pacote os encontra.

Se o host usar uma interface de firewall da distribuição, confirme as regras subjacentes em vez do nome do perfil, porque um perfil pode estar ativo enquanto a porta está fechada.

Uma captura na interface diz-lhe que fronteira descartou o pacote.

Admitir o ouvinte não é encaminhar os clientes

Um gateway VPN que encaminha tráfego de clientes precisa de mais do que uma porta aberta. Precisa de encaminhamento IP, de uma política que permita o fluxo da interface do túnel para a rede de destino e, frequentemente, da verificação de origem e destino desativada na interface para que a plataforma não descarte tráfego que não lhe é endereçado. Nada disso é criado pela regra do ouvinte.

É aqui que um handshake funcional e um caminho de dados quebrado se separam, e por isso o estado de um túnel pode parecer saudável enquanto nada carrega.

Corrija o encaminhamento como uma alteração separada com a sua própria verificação, e note que um gateway que encaminha também precisa de uma política de saída que permita o destino.

Mantenha um caminho de regresso e depois estreite a regra

Antes de alterar a política do firewall remoto, confirme que existe um caminho de gestão independente, como um gestor de sessões, uma consola série ou uma rede fora de banda. Se o único caminho de gestão passa pela regra que está a editar, não tem recuperação. Depois aplique a regra estreita, teste a partir de um cliente real e correlacione a tentativa com provas do lado do servidor. Uma resposta de outro serviço na mesma máquina não é prova de que o ouvinte foi alcançado.

Remova qualquer permissão ampla experimental assim que a estreita funcionar, e anote porque existe a regra. A AWS documenta o comportamento com estado dos grupos de segurança, e é esse o documento a citar quando alguém propõe um intervalo amplo como atalho.

Documente também a associação, ou uma interface de substituição perderá a política em silêncio.