Kikundi cha usalama cha wingu kwa VPN: fungua msikilizaji, sio kila kitu

Seva ya VPN inaendesha, mteja anamaliza muda, na mwitikio wa kwanza ni kuongeza kanuni inayoruhusu kila kitu kwenye kikundi cha usalama. Wakati mwingine hiyo huifanya ifanye kazi, na hiyo ni matokeo mabaya zaidi, kwa sababu sasa hakuna anayejua ni mpaka upi ulifungwa kwa kweli. Kuna vichujio vinne tofauti kati ya mteja na daemon, na kimoja tu kati yao ni kikundi cha usalama.

Taja itifaki kabla ya kanuni

Kanuni ni itifaki, safu ya bandari na chanzo. WireGuard husikiliza kwenye UDP, kawaida 51820. OpenVPN kawaida ni UDP au TCP 1194 kulingana na usanidi. IPsec inahitaji mabadilishano ya IKE kwenye UDP 500 na 4500 pamoja na itifaki ya ESP yenyewe, ambayo ni namba ya itifaki na sio bandari. Kukisia TCP kwa sababu kanuni nyingine ni TCP ndiko huleta kanuni inayoonekana sahihi na isiyolingana na kitu chochote.

Soma msikilizaji kutoka huduma inayoendesha, sio kutoka mwongozo. Daemon iliyofungwa kwa anwani moja haitakubali trafiki inayofika kwa nyingine.

Punguza chanzo kwa safu ya wateja inayoruhusiwa na muundo, badala ya intaneti yote.

Vikundi vya usalama vina hali; ACL za subnet hazina

Vikundi vya usalama vina hali na huruhusu tu: mtiririko wa ndani unaoruhusiwa hupata majibu yake kiotomatiki, na hakuna kanuni ya kukataa ya kufikiria. ACL za subnet hazina hali na hupimwa pande zote mbili, kwa hiyo ruhusa ya ndani bila safu ya muda ya nje inayolingana bado inashindwa. Tofauti hiyo inaeleza kanuni nyingi zinazoonekana sahihi kwenye konsoli.

Thibitisha pia ni sera ipi iliyoambatishwa kwenye kituo cha mwisho kinachoendesha, kwa sababu mfano mmoja unaweza kuwa na kikundi zaidi ya kimoja na kanuni katika kikundi kisichoambatishwa haibadilishi chochote.

Sera inayofanya kazi ni muungano wa kilichoambatishwa, sio faili uliyoihariri.

Firewall ya mwenyeji ni mpaka tofauti

Sera ya wingu inaruhusu trafiki kufikia kiolesura cha mtandao, kisha mfumo wa uendeshaji huamua kama daemon anaiona. Firewall ya mwenyeji yenye sera ya kukataa chaguo-msingi itatupa pakiti ambayo kikundi cha usalama kiliruhusu, na konsoli ya wingu haitaonyesha kukataa kwa sababu haikuwa na maoni kamwe. Angalia zote mbili, kwa mpangilio ambao pakiti hukutana nazo.

Ikiwa mwenyeji anatumia kiolesura cha mbele cha firewall cha usambazaji, thibitisha kanuni za msingi badala ya jina la wasifu, kwa sababu wasifu unaweza kuwa hai wakati bandari imefungwa.

Ushikaji kwenye kiolesura hukuambia ni mpaka upi uliotupa pakiti.

Kuruhusu msikilizaji sio kuelekeza wateja

Lango la VPN linalosambaza trafiki ya wateja linahitaji zaidi ya bandari iliyo wazi. Linahitaji uelekezaji wa IP, sera inayoruhusu mtiririko kutoka kiolesura cha handaki hadi mtandao lengwa, na mara nyingi ukaguzi wa chanzo na lengo uliozimwa kwenye kiolesura ili jukwaa lisitupe trafiki isiyoelekezwa kwake. Hakuna chochote kati ya hivi kinachoundwa na kanuni ya msikilizaji.

Hapa ndipo salamu ya mkono inayofanya kazi na njia ya data iliyovunjika hutenganishwa, na ndio sababu hali ya handaki inaweza kuonekana nzuri wakati hakuna kinachopakiwa.

Rekebisha uelekezaji kama mabadiliko tofauti na uthibitishaji wake mwenyewe, na kumbuka kwamba lango linalosambaza linahitaji pia sera ya kutoka inayoruhusu lengo.

Weka njia ya kurudi, kisha punguza kanuni

Kabla ya kubadilisha sera ya firewall ya mbali, thibitisha kwamba njia huru ya usimamizi ipo, kama meneja wa kipindi, konsoli ya mfululizo au mtandao wa nje ya mkanda. Ikiwa njia pekee ya usimamizi inapita kwenye kanuni unayohariri, huna urejeshaji. Kisha tumia kanuni nyembamba, jaribu kutoka kwa mteja halisi, na unganisha jaribio na ushahidi wa upande wa seva. Jibu kutoka huduma nyingine kwenye mashine moja sio ushahidi kwamba msikilizaji ulifikiwa.

Ondoa ruhusa yoyote pana ya majaribio mara tu ile nyembamba inapofanya kazi, na andika kwa nini kanuni ipo. AWS inaandika tabia ya hali ya vikundi vya usalama, na hati hiyo ndiyo ya kutajwa wakati mtu anapendekeza safu pana kama njia ya mkato.

Andika pia uambatishaji, vinginevyo kiolesura cha uingizwaji kitapoteza sera kimya kimya.