Rregulli EC2 vetëm për VPN: çdo grup sigurie i bashkangjitur duhet të pajtohet

Shtoni një rregull hyrës për grupin e klientëve VPN, nuk hiqni asgjë, dhe shërbimi vazhdon të jetë i arritshëm nga interneti. Asgjë nuk është prishur. Një grup sigurie nuk ka asnjë anulim, prioritet ose refuzim përfundimtar kundër të cilit rregulli i ngushtë mund të fitojë. Çdo grup i bashkangjitur instancës kontribuon me lejet e veta në një grup të vetëm të bashkuar, dhe rregulli i gjerë që harruat është ende në atë grup. Ta bësh instancën vetëm-VPN do të thotë t'i auditosh të gjitha, jo të shtosh një rregull që tingëllon më mirë në njërën prej tyre.

Shkruani shërbimin përpara se të shkruani rregullin

Filloni me destinacionin e saktë, protokollin dhe portin, si dhe ndërfaqen e rrjetit në të cilën shërbimi dëgjon vërtet. Një instancë me disa ndërfaqe ose disa shërbime në një port kërkon auditimin për çdo ndërfaqe, sepse grupet e bashkangjitura mund të ndryshojnë. Pastaj përcaktoni cilën adresë burimi merr vërtet ajo ndërfaqe për një përdorues VPN, dhe jo adresën që klienti shfaq në dritaren e vet të lidhjes.

Këto dy adresa ndryshojnë më shpesh sesa presin njerëzit sapo përfshihen përkthimi dhe rrugëtimi.

Tre modele burimi, tre rregulla të ndryshme

Me akses privat të rrugëtuar, instanca merr grupin e klientëve ose diapazonin korporativ, në varësi të mënyrës se si rrugëtohet dhe përkthehet shtegu. Me një pikë fundore publike që arrihet përmes daljes korporative, instanca sheh në vend të saj adresën NAT korporative, dhe vetëm nëse ai destinacion përdor vërtet shtegun VPN, pasi tunelimi i ndarë mund ta lërë atë në një lidhje shtëpie. Me një pikë fundore Client VPN të menaxhuar, zbatohet modeli i dokumentuar i shoqërimit dhe rrjetit të synuar, dhe adresa e klientit vjen nga CIDR-i i klientit të konfiguruar.

Ajo që nuk funksionon është referimi i një porte VPN si burim i një grupi sigurie. Referencat e grupeve përputhen me ndërfaqet e rrjetit elastik brenda VPC-së ose një rrjeti të lidhur, dhe një portë që përcjell paketa nuk është një prej tyre.

Lexoni bashkimin nëpër çdo grup të bashkangjitur

Hapni instancën, gjeni ndërfaqen e saj të rrjetit dhe listoni çdo grup sigurie të bashkangjitur. Për secilin, kontrolloni çdo rregull që mbulon protokollin dhe portin tuaj, duke përfshirë diapazone të gjera portesh dhe të dyja familjet e adresave. Një rregull IPv4 nga 0.0.0.0/0 nuk ju përjashton nga kontrolli i ::/0, dhe një rregull që lejon të gjithë trafikun e fsheh plotësisht çështjen e portit. Vetëm pas atij inventari mund të thoni cila është leja efektive për shërbimin.

Referenca e rregullave të AWS i përshkruan grupet e sigurisë si vetëm-lejuese dhe deklaron se rregullat e të gjitha grupeve të bashkangjitura agregohen, dhe ky është i gjithë mekanizmi pas këtij dështimi.

ACL-të e rrjetit janë një politikë e veçantë dhe pa gjendje me zëra të renditur lejimi dhe refuzimi, dhe vlerësohen në subnnet, jo në instancë.

Mos u përgjigjni me një mur refuzimesh

Shtimi i një refuzimi NACL në të gjithë subnnetin për të imituar një firewall me të cilin jeni mësuar është mjeti i gabuar dhe i rrezikshëm. Zërat NACL janë të renditur dhe pa gjendje, kështu që një refuzim i vendosur mbi një leje ekzistuese thyen në heshtje trafikun e palidhur, duke përfshirë shtegun e kthimit për sesionet që po përpiqeshit të mbanit. Rregulloni lejen e gjerë të grupit të sigurisë në grupin që e zotëron, dhe pastaj lëreni ACL-në të qetë, përveç nëse është vërtet pjesë e dizajnit.

Heqja e një adrese publike nga instanca është një garanci më e fortë, dhe është gjithashtu një ndryshim arkitekturor me pasoja administrative dhe aplikative, jo një kuti kontrolli në një listë lejimesh.

Testoni me një sesion të ri dhe mbani një rrugë për të hyrë

Përpara se të tërhiqeni nga çdo leje ekzistuese, konfirmoni një shteg administrativ të pavarur të miratuar, sepse rregulli që jeni gati të fshini mund të jetë ai nga i cili varet rikuperimi i sesionit tuaj. Pastaj testoni një lidhje të re të lejuar nga VPN dhe një lidhje të re të refuzuar nga një shteg testimi i autorizuar jo-VPN. Sesionet e gjurmura ekzistuese i mbijetojnë ndryshimeve të rregullave në mënyra që i bëjnë predhat e vjetra të hapura të pavlefshme si provë pranimi.

Më në fund, mbani autorizimin e vetë aplikacionit në vend. Një dalje korporative e përkthyer mund të përfaqësojë qindra njerëz, dhe pranimi në rrjet nuk ka identifikuar kurrë një përdorues individua ose pajisjen e tij.