Sheria za AWS Client VPN ni za rasilimali, si subnet

Wafanyakazi wanahitaji kufikia programu moja ndani ya VPC na hawapaswi kufikia msikilizaji wa hifadhidata kwenye instance hiyo hiyo, kwa hivyo mtu anaongeza subnet ya pili ya umma kwa endpoint ya VPN na kusema hitaji limetimizwa. Mahali pa subnet hubadilisha uelekezaji na upatikanaji. Haipi au hainyimi port hata moja. Ruhusa inayoonyesha hitaji iko mahali pa mwisho, katika kikundi cha usalama cha rasilimali, na mpaka wa VPN hutoa kishikio ambacho sheria hiyo inarejelea.

Mahali pa subnet ni uelekezaji, si uidhinishaji

Mahali muunganisho wa mtandao wa endpoint ulipo huamua ni jedwali gani la njia linalobeba trafiki ya wateja na ni maeneo gani ya upatikanaji yanayostahimili hitilafu. Haisemi chochote kuhusu port gani kwenye instance gani trafiki hiyo inaweza kufikia. Wateja wawili waliojumuishwa na subnet moja bado wanawasili na utambulisho sawa wa chanzo, na rasilimali haiwezi kuwatofautisha kwa jina la subnet.

Anza na hitaji badala yake: nani anapiga, rasilimali gani, port gani ya huduma na mwelekeo gani. Kisha chagua modeli ya sheria inayoweza kuonyesha mambo hayo manne mahali pa mwisho. Mbinu hiyo kwa kawaida huondoa kabisa subnet ya ziada kwenye muundo.

Kikundi cha muunganisho cha Client VPN ndicho kishikio

Kwa endpoint ya AWS Client VPN iliyounganishwa na subnet, mpangilio ulioandikwa ni mahususi. Tumia kikundi cha usalama kilichokusudiwa kwenye muunganisho wa mtandao lengwa wa endpoint, kisha ruhusu trafiki inayohitajika katika kikundi cha usalama cha rasilimali ukitumia kikundi hicho cha Client VPN kama chanzo.

Kwa hakika, kikundi cha instance ya programu huruhusu port ya programu kutoka kikundi cha muunganisho, na hakuna kingine. Utaratibu wa ufikiaji wa rasilimali wa AWS unaelezea uhusiano huo, na inafaa kudumisha sera hiyo hiyo ya kikundi kwenye kila subnet ambayo endpoint inajiunga nayo, kwa sababu muunganisho wa zamani na kikundi tofauti hupanua mpaka kwa utulivu.

Sheria hiyo haithibitishi mtu yeyote. Kuingia ni udhibiti tofauti, na njia ya kufikia rasilimali ni ya tatu. Zote tatu lazima ziwe kweli kabla ombi kufika. Lipi linaloshindikana huamua marekebisho gani ni sahihi, na kubadilisha sheria ni jibu sahihi kwa la kwanza pekee.

Kile ambacho kikundi kimoja cha muunganisho hakiwezi kutofautisha

Kila mteja aliye nyuma ya kikundi hicho cha muunganisho hufikia rasilimali kama chanzo kile kile cha kikundi cha usalama. Watumiaji wawili wenye majukumu tofauti hawatofautishwi katika tabaka hilo, jina au lebo ya kikundi iwe vyovyote. Uidhinishaji wa vikundi vya nje vya Client VPN huzuia ufikiaji kwa kiambishi awali cha lengo kwa kikundi cha saraka au SAML, jambo ambalo ni zito zaidi kuliko jukumu la rasilimali na linapaswa kuchukuliwa kama mpaka wa mtandao, si mfumo wa utambulisho.

Tofauti nyembamba ni za programu. Msikilizaji wa hifadhidata ambaye lazima abaki amefungwa kwa wafanyakazi wengi hulindwa vizuri zaidi kwa kutoweza kufikiwa kabisa kwenye kiambishi awali kilichoruhusiwa kuliko kutumaini kwamba uanachama wa kikundi utabaki safi.

Kubadilisha jina la kikundi hakuundi utambulisho, na kuiga kwa kila timu huongeza tu muunganisho unaohitaji kukaguliwa.

Usinakili sheria hiyo kwenye kila muundo wa VPN

Lango la EC2 VPN linalojisimamia, kifaa cha ukaguzi kilichoelekezwa na Client VPN inayosimamiwa ni njia tatu tofauti za pakiti. Tambua anwani gani ya chanzo hufikia rasilimali kwa kweli, kama tafsiri inafanyika katikati, na mbinu gani za marejeleo huduma inaunga mkono kwenye njia hiyo.

Kupitisha trafiki kupitia kifaa cha kati hakuhifadhi marejeleo ya kikundi cha usalama cha chanzo kama trafiki ya moja kwa moja kati ya instance. AWS inaandika kwamba miundo kama hiyo inaweza kuhitaji anwani za faragha za chanzo au CIDR zinazofaa badala ya marejeleo ya kikundi. Utaratibu wa Client VPN inayosimamiwa si uthibitisho kwamba kikundi kilichounganishwa cha kila lango hufanya kazi kama tokeni ya utambulisho wa jumla kwa pakiti zinazopitishwa.

Kuruka kwa NAT moja kwenye njia kunatosha kuvunja dhana, na hitilafu inaonekana kama sheria iliyopo lakini isiyolingana kamwe.

Kagua mpaka unaofanya kazi

Soma kila kikundi cha usalama kilichounganishwa na rasilimali, kwa sababu sheria za kuruhusu huungana na sheria nyembamba haifutii iliyo pana kwenye kikundi kingine. Kisha angalia ACL ya mtandao, firewall ya mwenyeji na uidhinishaji wa programu yenyewe, ambazo ni tabaka tofauti zenye makosa tofauti.

Maliza kwa ombi moja lililoruhusiwa na moja lililotengwa kwa makusudi dhidi ya rasilimali hiyo hiyo. Jozi hilo huthibitisha mpaka, ilhali muunganisho mmoja uliofanikiwa huthibitisha tu kwamba kitu kiko wazi. Thibitisha njia, chanzo kinachofanya kazi na port ya huduma iliyokusudiwa, si subnet iliyo na endpoint.

Mpangilio wa kazi: andika hitaji la sehemu nne, ambatisha kikundi kwenye muunganisho, weka kikomo cha sheria ya rasilimali kwenye port, thibitisha ruhusa moja na kukataa moja, na kisha tu fikiria kugawanya subnet kwa sababu za uelekezaji.