Pravila AWS Client VPN pripadajo viru, ne podomrežju

Osebje mora doseči eno aplikacijo v VPC in ne sme doseči poslušalca podatkovne baze na istem primerku, zato nekdo doda drugo javno podomrežje za končno točko VPN in zahtevo razglasi za izpolnjeno. Namestitev podomrežja spremeni usmerjanje in razpoložljivost. Ne podeli in ne odvzame niti enih vrat. Dovoljenje, ki izraža zahtevo, živi na cilju, v varnostni skupini vira, meja VPN pa zagotovi ročaj, na katerega se to pravilo nanaša.

Namestitev podomrežja je usmerjanje, ne avtorizacija

Kje je omrežna povezava končne točke, odloča, katera usmerjevalna tabela nosi promet odjemalcev in katere cone razpoložljivosti preživijo okvaro. Ne pove ničesar o tem, do katerih vrat na katerem primerku lahko ta promet pride. Dva odjemalca, povezana z istim podomrežjem, še vedno prispeta z isto identiteto vira, vir pa ju ne more ločiti po imenu podomrežja.

Začnite raje pri zahtevi: kdo kliče, kateri vir, katera vrata storitve in katera smer. Nato izberite model pravila, ki zna te štiri stvari izraziti na cilju. Tak pristop običajno povsem odstrani odvečno podomrežje iz zasnove.

Skupina povezave Client VPN je ta ročaj

Za končno točko AWS Client VPN, povezano s podomrežjem, je dokumentirana ureditev konkretna. Uporabite predvideno varnostno skupino na omrežnih povezavah ciljnega omrežja končne točke, nato dovolite potreben promet v varnostni skupini vira z uporabo te skupine Client VPN kot vira.

Konkretno, skupina primerka aplikacije dovoli vrata aplikacije iz skupine povezave in nič drugega. Postopek dostopa do vira pri AWS opisuje to razmerje, in vredno je ohraniti isto politiko skupine v vsakem podomrežju, s katerim se končna točka poveže, ker zastarela povezava z drugo skupino tiho razširi mejo.

To pravilo nikogar ne overi. Prijava je ločena kontrola, pot do vira pa je tretja. Vse tri morajo veljati, preden prispe zahteva. Katera odpove, odloča, kateri popravek je pravi, in sprememba pravila je pravi odgovor le za prvo.

Česa ena skupina povezave ne more ločiti

Vsak odjemalec za isto skupino povezave doseže vir kot isti vir varnostne skupine. Dva uporabnika z različnimi vlogami sta na tej plasti nerazločljiva, ne glede na to, kako je skupina poimenovana ali označena. Avtorizacija zunanjih skupin pri Client VPN omejuje dostop po predponi cilja za imenikovo ali SAML skupino, kar je bolj grobo od vloge vira in je treba obravnavati kot omrežno mejo, ne kot sistem identitete.

Finerja razlikovanja pripadajo aplikaciji. Poslušalec podatkovne baze, ki mora ostati zaprt za večino osebja, je bolje zaščiten tako, da v dovoljeni predponi sploh ni dosegljiv, kot s pričakovanjem, da bo članstvo v skupini ostalo urejeno.

Preimenovanje skupine ne ustvari identitete, podvajanje po ekipah pa le pomnoži povezave, ki jih je treba pregledati.

Tega pravila ne kopirajte v vsako zasnovo VPN

Samoupravljani prehod EC2 VPN, usmerjena pregledovalna naprava in upravljani Client VPN so tri različne poti paketov. Ugotovite, kateri naslov vira dejansko doseže vir, ali se na poti izvaja prevajanje in katere referenčne mehanizme storitev podpira na tej poti.

Posredovanje prometa skozi vmesno napravo ne ohrani sklica na varnostno skupino vira tako, kot ga ohrani neposreden promet med primerki. AWS dokumentira, da lahko takšne zasnove namesto sklica na skupino potrebujejo ustrezne zasebne naslove vira ali CIDR. Postopek upravljanega Client VPN ni dokaz, da pripeta skupina vsakega prehoda deluje kot univerzalni žeton identitete za posredovane pakete.

En NAT skok na poti zadošča, da se predpostavka zlomi, in okvara je videti kot pravilo, ki obstaja, a se nikoli ne ujema.

Preglejte dejansko mejo

Preberite vsako varnostno skupino, pripeto na vir, ker se pravila dovoljevanja seštevajo in ozko pravilo ne razveljavi širšega v drugi skupini. Nato preverite omrežni ACL, požarni zid gostitelja in lastno avtorizacijo aplikacije, ki so ločene plasti z ločenimi napakami.

Končajte z eno dovoljeno in eno namerno izključeno zahtevo na isti vir. Par dokaže mejo, medtem ko ena uspešna povezava dokaže le, da je nekaj odprto. Potrdite pot, dejanski vir in predvidena vrata storitve, ne pa podomrežja, ki vsebuje končno točko.

Vrstni red dela: napišite zahtevo iz štirih delov, pripnite skupino k povezavam, omejite pravilo vira na vrata, preverite eno dovoljenje in eno zavrnitev in šele nato razmislite o delitvi podomrežij zaradi usmerjanja.