Grup sigurie në re për një VPN: hap dëgjuesin, jo gjithçka

Serveri VPN po punon, klienti skadon, dhe impulsi i parë është të shtohet në grupin e sigurisë një rregull që lejon gjithçka. Ndonjëherë kjo e bën të punojë, dhe është rezultati më i keq, sepse tani askush nuk e di se cila kufi u mbyll vërtet. Midis klientit dhe demonit qëndrojnë katër filtra të veçantë, dhe vetëm njëri prej tyre është grupi i sigurisë.

Emërto protokollin përpara rregullit

Një rregull është një protokoll, një interval portash dhe një burim. WireGuard dëgjon në UDP, zakonisht 51820. OpenVPN është zakonisht UDP ose TCP 1194 në varësi të konfigurimit. IPsec ka nevojë për shkëmbimin IKE në UDP 500 dhe 4500 plus vetë protokollin ESP, i cili është një numër protokolli dhe jo një port. Të hamendësosh TCP sepse rregullat e tjera janë TCP është mënyra si përfundon me një rregull që duket i saktë dhe nuk përputhet me asgjë.

Lexo dëgjuesin nga shërbimi që punon, jo nga një udhëzues. Një demon i lidhur me një adresë nuk do të pranojë trafik që vjen në një tjetër.

Kufizo burimin në intervalin e klientëve që lejon projektimi, në vend të gjithë internetit.

Grupet e sigurisë mbajnë gjendje; ACL-të e nënrrjetit jo

Grupet e sigurisë mbajnë gjendje dhe vetëm lejojnë: një rrjedhë hyrëse e lejuar merr përgjigjet automatikisht, dhe nuk ka rregull mohimi për të menduar. ACL-të e nënrrjetit nuk mbajnë gjendje dhe vlerësohen në të dy drejtimet, kështu që një leje hyrëse pa intervalin përkatës efemer dalës përsëri dështon. Ky ndryshim shpjegon shumë rregulla që duken të sakta në konsolë.

Konfirmo gjithashtu cila politikë është e bashkangjitur në pikën fundore që punon, sepse një instancë mund të ketë më shumë se një grup dhe një rregull në një grup të pabashkangjitur nuk ndryshon asgjë.

Politika efektive është bashkimi i asaj që është bashkangjitur, jo skedari që redaktove.

Firewall-i i hostit është një kufi i veçantë

Politika e resë lejon trafikun deri te ndërfaqja e rrjetit, dhe pastaj sistemi operativ vendos nëse demoni e sheh. Një firewall hosti me politikë mohimi të parazgjedhur do të hedhë një paketë që grupi i sigurisë e lejoi, dhe konsola e resë nuk do të tregojë asnjë mohim sepse nuk kishte kurrë mendim. Kontrollo të dyja, në rendin që paketa i takon.

Nëse hosti përdor një ndërfaqe frontale të firewall-it të shpërndarjes, konfirmo rregullat bazë dhe jo emrin e profilit, sepse një profil mund të jetë aktiv ndërsa porta është e mbyllur.

Një kapje në ndërfaqe të tregon cili kufi e hodhi paketën.

Lejimi i dëgjuesit nuk është rrugëzimi i klientëve

Një portë VPN që përcjell trafikun e klientëve ka nevojë për më shumë se një portë të hapur. I duhet përcjellje IP, një politikë që lejon rrjedhën nga ndërfaqja e tunelit në rrjetin e destinacionit, dhe shpesh kontrolli burim-destinacion i çaktivizuar në ndërfaqe, që platforma të mos hedhë trafik që nuk i drejtohet asaj. Asgjë nga këto nuk krijohet nga rregulli i dëgjuesit.

Këtu ndahen një shtrëngim duarsh që punon dhe një rrugë e dhënash e prishur, dhe për këtë arsye gjendja e tunelit mund të duket e shëndetshme ndërsa asgjë nuk ngarkohet.

Rregullo rrugëzimin si një ndryshim i veçantë me verifikimin e vet, dhe vëre se një portë që përcjell ka nevojë edhe për një politikë dalëse që lejon destinacionin.

Mbaj një rrugë kthimi, pastaj ngushto rregullin

Përpara se të ndryshosh politikën e firewall-it të largët, konfirmo se ekziston një rrugë administrimi e pavarur, si një menaxher sesionesh, një konsolë serike ose një rrjet jashtë brezit. Nëse e vetmja rrugë administrimi kalon nëpër rregullin që po redakton, nuk ke rimëkëmbje. Pastaj zbato rregullin e ngushtë, provo nga një klient i vërtetë dhe lidh përpjekjen me dëshmitë në anën e serverit. Një përgjigje nga një shërbim tjetër në të njëjtën makinë nuk është provë që dëgjuesi u arrit.

Hiq çdo leje të gjerë eksperimentale sapo të funksionojë ajo e ngushta, dhe shëno pse ekziston rregulli. AWS dokumenton sjelljen me gjendje të grupeve të sigurisë, dhe ai është dokumenti që duhet cituar kur dikush propozon një interval të gjerë si shkurtore.

Dokumento edhe bashkangjitjen, përndryshe një ndërfaqe zëvendësuese do ta humbasë politikën në heshtje.