Pravidlá AWS Client VPN patria k prostriedku, nie k podsieti

Zamestnanci potrebujú dosiahnuť jednu aplikáciu vo VPC a nesmú dosiahnuť poslucháč databázy na tej istej inštancii, takže niekto pridá druhú verejnú podsieť pre endpoint VPN a vyhlási požiadavku za splnenú. Umiestnenie podsiete mení smerovanie a dostupnosť. Nedáva ani neodopiera jediný port. Oprávnenie, ktoré vyjadruje požiadavku, žije v cieli, v bezpečnostnej skupine prostriedku, a hranica VPN dodáva držadlo, na ktoré sa to pravidlo odvoláva.

Umiestnenie podsiete je smerovanie, nie autorizácia

Kde sa nachádza sieťové pridruženie endpointu, rozhoduje o tom, ktorá smerovacia tabuľka nesie prevádzku klientov a ktoré zóny dostupnosti prežijú výpadok. Nič nehovorí o tom, ktorý port na ktorej inštancii môže táto prevádzka dosiahnuť. Dvaja klienti pridružení k tej istej podsieti prichádzajú stále s rovnakou identitou zdroja a prostriedok ich podľa názvu podsiete nerozlišuje.

Začnite radšej od požiadavky: kto volá, ktorý prostriedok, ktorý port služby a ktorým smerom. Potom zvoľte model pravidla, ktorý dokáže tieto štyri veci vyjadriť v cieli. Takýto rámec zvyčajne úplne odstráni nadbytočnú podsieť z návrhu.

Skupina pridruženia Client VPN je to držadlo

Pre endpoint AWS Client VPN pridružený k podsieti je dokumentované usporiadanie konkrétne. Použite zamýšľanú bezpečnostnú skupinu na sieťové pridruženia cieľovej siete endpointu a potom povoľte požadovanú prevádzku v bezpečnostnej skupine prostriedku s touto skupinou Client VPN ako zdrojom.

Konkrétne skupina inštancie aplikácie povoľuje port aplikácie zo skupiny pridruženia a nič iné. Postup prístupu k prostriedku od AWS opisuje tento vzťah a oplatí sa držať rovnakú politiku skupiny na každej podsieti, ku ktorej sa endpoint pridruží, pretože zastarané pridruženie s inou skupinou potichu rozširuje hranicu.

Toto pravidlo nikoho neautentizuje. Prihlásenie je samostatná kontrola a cesta k prostriedku je tretia. Všetky tri musia platiť, kým dorazí požiadavka. Ktorékoľvek zlyhá, určuje, ktorá oprava je správna, a zmena pravidla je správnou odpoveďou len pre prvé z nich.

Čo jedna skupina pridruženia nerozlišuje

Každý klient za tou istou skupinou pridruženia dosiahne prostriedok ako rovnaký zdroj bezpečnostnej skupiny. Dvaja používatelia s rôznymi rolami sú v tejto vrstve nerozoznateľní, nech je skupina pomenovaná alebo označená akokoľvek. Autorizácia externých skupín v Client VPN obmedzuje prístup podľa cieľového prefixu pre skupinu adresára alebo SAML, čo je hrubšie ako rola prostriedku a má sa s tým zaobchádzať ako so sieťovou hranicou, nie ako s identitným systémom.

Jemnejšie rozlíšenia patria aplikácii. Poslucháč databázy, ktorý má zostať zatvorený pre väčšinu zamestnancov, je lepšie chránený tým, že na povolenom prefixe vôbec nie je dostupný, než spoliehaním sa na to, že členstvo v skupine zostane upratané.

Premenovanie skupiny nevytvára identitu a jej zdvojenie pre každý tím len násobí pridruženia na audit.

Nekopírujte to pravidlo do každého návrhu VPN

Samosprávna brána EC2 VPN, smerované inspekčné zariadenie a spravovaný Client VPN sú tri rôzne cesty paketov. Zistite, ktorá zdrojová adresa skutočne dosiahne prostriedok, či sa po ceste prekladá a ktoré referenčné mechanizmy služba na tejto ceste podporuje.

Preposielanie prevádzky cez medziľahlé zariadenie nezachová referenciu na zdrojovú bezpečnostnú skupinu tak, ako to robí priama prevádzka medzi inštanciami. AWS dokumentuje, že takéto návrhy môžu namiesto referencie skupiny potrebovať vhodné súkromné zdrojové adresy alebo CIDR. Postup spravovaného Client VPN nie je dôkazom, že pripojená skupina každej brány funguje ako univerzálny identitný token pre preposielané pakety.

Jeden skok NAT na ceste stačí na rozbitie predpokladu a porucha vyzerá ako pravidlo, ktoré existuje, ale nikdy neodpovedá.

Prejdite efektívnu hranicu

Prečítajte každú bezpečnostnú skupinu pripojenú k prostriedku, pretože povoľovacie pravidlá sa sčítavajú a úzke pravidlo neruší širšie v inej skupine. Potom skontrolujte sieťový ACL, firewall hostiteľa a vlastnú autorizáciu aplikácie, čo sú oddelené vrstvy s oddelenými chybami.

Skončite jednou povolenou a jednou zámerne vylúčenou požiadavkou na ten istý prostriedok. Tá dvojica dokazuje hranicu, zatiaľ čo jedno úspešné spojenie dokazuje len to, že je niečo otvorené. Potvrďte trasu, efektívny zdroj a zamýšľaný port služby, nie podsieť, ktorá endpoint obsahuje.

Poradie práce: napíšte požiadavku zo štyroch častí, pripojte skupinu k pridruženiam, obmedzte pravidlo prostriedku na port, overte jedno povolenie a jedno zamietnutie a až potom zvažujte delenie podsietí z dôvodov smerovania.