Pravidlo EC2 len pre VPN: každá pripojená bezpečnostná skupina musí súhlasiť

Pridáte jedno prichádzajúce pravidlo pre pool klientov VPN, nič neodstránite a služba je stále dostupná z internetu. Nič nie je pokazené. Bezpečnostná skupina nemá žiadne prepísanie, prioritu ani konečné zamietnutie, proti ktorému by úzke pravidlo mohlo vyhrať. Každá skupina pripojená k inštancii prispieva svojimi povoleniami do jedného zlúčeného súboru a široké pravidlo, na ktoré ste zabudli, je v tomto súbore stále. Urobiť z inštancie len-VPN znamená auditovať všetky, nie pridať lepšie znejúce pravidlo k jednej z nich.

Napíšte službu skôr, než napíšete pravidlo

Začnite presným cieľom, protokolom a portom a sieťovým rozhraním, na ktorom služba skutočne počúva. Inštancia s viacerými rozhraniami alebo viacerými službami na jednom porte vyžaduje audit pre každé rozhranie, pretože pripojené skupiny sa môžu líšiť. Potom určite akú zdrojovú adresu toto rozhranie skutočne dostáva pre používateľa VPN, a nie adresu, ktorú klient zobrazuje vo vlastnom okne pripojenia.

Tieto dve adresy sa rozchádzajú častejšie, než ľudia očakávajú, keď do hry vstúpi preklad a smerovanie.

Tri modely zdroja, tri rôzne pravidlá

Pri súkromnom smerovanom prístupe inštancia dostáva pool klientov alebo firemný rozsah, podľa toho, ako je cesta smerovaná a prekladaná. Pri verejnom koncovom bode dosahovanom cez firemný výstup inštancia namiesto toho vidí firemnú adresu NAT, a to len ak toto cieľové umiestnenie skutočne používa cestu VPN, pretože rozdelené tunelovanie ho môže nechať na domácom pripojení. Pri spravovanom koncovom bode Client VPN platí dokumentovaný model pridruženia a cieľovej siete a adresa klienta pochádza z nakonfigurovaného CIDR klienta.

Čo nefunguje, je odkazovať bránu VPN ako zdroj bezpečnostnej skupiny. Odkazy na skupiny zodpovedajú elastickým sieťovým rozhraniam vo vnútri VPC alebo prepojenej siete a brána, ktorá preposiela pakety, nie je jednou z nich.

Prečítajte zjednotenie cez všetky pripojené skupiny

Otvorte inštanciu, nájdite jej sieťové rozhranie a vypíšte každú bezpečnostnú skupinu, ktorá je k nemu pripojená. Pri každej skontrolujte každé pravidlo, ktoré pokrýva váš protokol a port, vrátane širokých rozsahov portov a oboch rodín adries. Pravidlo IPv4 z 0.0.0.0/0 vás nezbavuje kontroly ::/0 a pravidlo povoľujúce všetku prevádzku úplne skrýva otázku portu. Až po tomto súpise môžete povedať, aké je efektívne povolenie pre službu.

Referenčná príručka pravidiel AWS opisuje bezpečnostné skupiny ako iba-povoľujúce a uvádza, že pravidlá všetkých pripojených skupín sa agregujú, a to je celý mechanizmus stojaci za týmto zlyhaním.

Sieťové ACL sú samostatná politika bez stavu s usporiadanými položkami povolenia a zamietnutia a vyhodnocujú sa na podsieti, nie na inštancii.

Neodpovedajte stenou zamietnutí

Pridať zamietnutie NACL pre celú podsietť, aby ste napodobnili firewall, na ktorý ste zvyknutí, je nesprávny nástroj a riskantný. Položky NACL sú usporiadané a bez stavu, takže zamietnutie umiestnené nad existujúcim povolením potichu rozbije nesúvisiacu prevádzku, vrátane spätnej cesty pre relácie, ktoré ste sa snažili udržať. Opravte široké povolenie bezpečnostnej skupiny v skupine, ktorá ho vlastní, a potom nechajte ACL na pokoji, ak nie je skutočne súčasťou návrhu.

Odstránenie verejnej adresy z inštancie je silnejšia záruka a je to aj architektonická zmena s administratívnymi a aplikačnými dôsledkami, nie zaškrtávacie políčko v zozname povolení.

Testujte s novou reláciou a ponechajte si cestu dovnútra

Skôr než zrušíte akékoľvek existujúce povolenie, potvrďte schválenú nezávislú administratívnu cestu, pretože pravidlo, ktoré sa chystáte odstrániť, môže byť to, na ktorom závisí obnova vašej relácie. Potom otestujte nové povolené pripojenie z VPN a nové zamietnuté pripojenie zo schválenej testovacej cesty mimo VPN. Existujúce sledované relácie prežívajú zmeny pravidiel tak, že staré otvorené shelly sú ako dôkaz prijatia nepoužiteľné.

Nakoniec ponechajte vlastnú autorizáciu aplikácie na mieste. Preložený firemný výstup môže zastupovať stovky ľudí a sieťový vstup nikdy neidentifikoval jednotlivého používateľa ani jeho zariadenie.