Правило EC2 само за VPN: свака повезана сигурносна група мора да се сложи

Додајете једно долазно правило за пул VPN клијената, не уклањате ништа, а услуга је и даље доступна са интернета. Ништа није покварено. Сигурносна група нема надјачавање, приоритет ни коначно одбијање против којих би уско правило могло да победи. Свака група повезана са инстанцом доприноси својим дозволама једном обједињеном скупу, а широко правило које сте заборавили још је у том скупу. Учинити инстанцу само-VPN значи прегледати све њих, а не додати лепше звучеће правило једној.

Запишите услугу пре него што напишете правило

Почните од тачног одредишта, протокола и порта, као и мрежног интерфејса на којем услуга стварно слуша. Инстанца са више интерфејса или више услуга на једном порту захтева преглед по интерфејсу, јер се повезане групе могу разликовати. Затим утврдите коју адресу извора тај интерфејс стварно прима за VPN корисника, а не адресу коју клијент приказује у сопственом прозору везе.

Те две адресе се разилазе чешће него што људи очекују када се укључе превод и усмеравање.

Три модела извора, три различита правила

Са приватним усмереним приступом инстанца прима пул клијената или корпоративни опсег, зависно од тога како се пут усмерава и преводи. Са јавном крајњом тачком до које се долази корпоративним излазом инстанца уместо тога види корпоративну NAT адресу, и то само ако то одредиште стварно користи VPN пут, јер подељено тунелирање може да га остави на кућној вези. Са управљаном крајњом тачком Client VPN примењује се документовани модел повезивања и циљне мреже, а адреса клијента долази из конфигурисаног CIDR-а клијента.

Оно што не ради јесте упућивање на VPN пролаз као извор сигурносне групе. Референце група подударају се са еластичним мрежним интерфејсима унутар VPC-а или повезане мреже, а пролаз који прослеђује пакете није један од њих.

Прочитајте унију кроз све повезане групе

Отворите инстанцу, пронађите њен мрежни интерфејс и набројте сваку сигурносну групу повезану са њим. За сваку проверите свако правило које покрива ваш протокол и порт, укључујући широке опсеге портова и обе фамилије адреса. IPv4 правило из 0.0.0.0/0 не ослобађа вас провере ::/0, а правило које дозвољава сав саобраћај потпуно скрива питање порта. Тек након тог пописа можете да кажете која је стварна дозвола за услугу.

AWS референца правила описује сигурносне групе као само-дозвољавајуће и наводи да се правила свих повезаних група агрегирају, и то је цео механизам иза овог неуспеха.

Мрежни ACL-ови су засебна политика без стања са поређаним записима дозволе и одбијања, и оцењују се на подмрежи, а не на инстанци.

Не одговарајте зидом одбијања

Додавање NACL одбијања на нивоу целе подмреже да бисте опонашали заштитни зид на који сте навикли погрешан је алат и ризичан. NACL записи су поређани и без стања, па одбијање постављено изнад постојеће дозволе тихо квари неповезани саобраћај, укључујући повратни пут за сесије које сте покушавали да задржите. Поправите широку дозволу сигурносне групе у групи која је поседује, а затим оставите ACL на миру осим ако он заиста није део дизајна.

Уклањање јавне адресе са инстанце јача је гаранција, а то је и архитектонска промена са административним и апликативним последицама, а не поље за потврду на листи дозвола.

Тестирајте новом сесијом и задржите начин уласка

Пре него што укинете било коју постојећу дозволу, потврдите одобрен независан административни пут, јер правило које ћете обрисати може бити оно од којег зависи опоравак ваше сесије. Затим тестирајте нову дозвољену везу са VPN-а и нову одбијену везу са одобреног тест пута без VPN-а. Постојеће праћене сесије преживљавају промене правила на начин који старе отворене шкољке чини бескорисним као доказ прихватања.

На крају, задржите сопствену ауторизацију апликације на месту. Преведени корпоративни излаз може представљати стотине људи, а мрежни приступ никада није идентификовао појединачног корисника ни његов уређај.