Grup de securitate în cloud pentru un VPN: deschide ascultătorul, nu tot

Serverul VPN rulează, clientul ajunge la timeout, iar primul impuls este să adaugi în grupul de securitate o regulă care permite tot. Uneori asta îl face să funcționeze, și este cel mai prost rezultat, pentru că acum nimeni nu știe ce graniță a fost chiar închisă. Între client și daemon stau patru filtre separate, și doar unul dintre ele este grupul de securitate.

Numește protocolul înaintea regulii

O regulă este un protocol, un interval de porturi și o sursă. WireGuard ascultă pe UDP, de obicei 51820. OpenVPN este de obicei UDP sau TCP 1194, în funcție de configurație. IPsec are nevoie de schimbul IKE pe UDP 500 și 4500 plus protocolul ESP în sine, care este un număr de protocol, nu un port. Să ghicești TCP pentru că celelalte reguli sunt TCP este felul în care ajungi la o regulă care pare corectă și nu se potrivește cu nimic.

Citește ascultătorul din serviciul care rulează, nu dintr-un tutorial. Un daemon legat de o adresă nu va accepta trafic care sosește pe alta.

Restrânge sursa la intervalul de clienți pe care designul îl permite, nu la tot internetul.

Grupurile de securitate au stare; ACL-urile de subrețea nu au

Grupurile de securitate au stare și doar permit: un flux de intrare permis primește răspunsurile automat, și nu există o regulă de refuz la care să te gândești. ACL-urile de subrețea nu au stare și sunt evaluate în ambele direcții, așa că o permisiune de intrare fără intervalul efemer de ieșire corespunzător tot eșuează. Această diferență explică multe reguli care par corecte în consolă.

Confirmă și ce politică este atașată punctului final care rulează, deoarece o instanță poate avea mai multe grupuri, iar o regulă dintr-un grup neatasat nu schimbă nimic.

Politica efectivă este uniunea celor atașate, nu fișierul pe care l-ai editat.

Firewall-ul gazdei este o graniță separată

Politica din cloud admite traficul până la interfața de rețea, iar apoi sistemul de operare decide dacă daemonul îl vede. Un firewall al gazdei cu politică implicită de refuz va arunca un pachet pe care grupul de securitate l-a permis, iar consola cloud nu va arăta niciun refuz pentru că nu a avut niciodată o părere. Verifică ambele, în ordinea în care pachetul le întâlnește.

Dacă gazda folosește o interfață de firewall a distribuției, confirmă regulile de bază, nu numele profilului, pentru că un profil poate fi activ în timp ce portul este închis.

O captură pe interfață îți spune care graniță a aruncat pachetul.

A permite ascultătorul nu înseamnă a ruta clienții

O poartă VPN care forwardează traficul clienților are nevoie de mai mult decât un port deschis. Are nevoie de forwardare IP, de o politică ce permite fluxul de la interfața tunelului la rețeaua destinație și adesea de verificarea sursă-destinație dezactivată pe interfață, ca platforma să nu arunce trafic care nu îi este adresat. Nimic din toate acestea nu este creat de regula ascultătorului.

Aici se despart un handshake funcțional și o cale de date ruptă, și de aceea starea unui tunel poate părea sănătoasă în timp ce nimic nu se încarcă.

Remediază rutarea ca o schimbare separată cu propria verificare și notează că o poartă care forwardează are nevoie și de o politică de ieșire care permite destinația.

Păstrează o cale de întoarcere, apoi îngustează regula

Înainte de a schimba politica firewall-ului remote, confirmă că există o cale de administrare independentă, cum ar fi un manager de sesiuni, o consolă serială sau o rețea în afara benzii. Dacă singura cale de administrare trece prin regula pe care o editezi, nu ai recuperare. Apoi aplică regula îngustă, testează de pe un client real și corelează încercarea cu dovezi de pe partea serverului. Un răspuns de la alt serviciu pe aceeași mașină nu este dovada că ascultătorul a fost atins.

Elimină orice permisiune largă experimentală imediat ce cea îngustă funcționează și notează de ce există regula. AWS documentează comportamentul cu stare al grupurilor de securitate, iar acel document este cel de citat când cineva propune un interval larg drept scurtătură.

Documentează și atașarea, altfel o interfață de înlocuire va pierde politica în tăcere.