Kanuni ya EC2 ya VPN pekee: kila kikundi cha usalama kilichounganishwa lazima kikubali

Unaongeza kanuni moja ya kuingia kwa dimbwi la wateja wa VPN, hauondoi chochote, na huduma bado inapatikana kutoka kwenye intaneti. Hakuna kilichovunjika. Kikundi cha usalama hakina ubatilishaji, kipaumbele au katazo la mwisho ambalo kanuni nyembamba inaweza kushinda dhidi yake. Kila kikundi kilichounganishwa na instansi huchangia ruhusa zake kwenye seti moja iliyounganishwa, na kanuni pana uliyoisahau bado iko katika seti hiyo. Kuifanya instansi kuwa VPN pekee kunamaanisha kukagua zote, si kuongeza kanuni inayosikika vizuri zaidi kwa moja yao.

Andika huduma kabla ya kuandika kanuni

Anza na lengo kamili, itifaki na bandari, na kiolesura cha mtandao ambacho huduma husikiliza kweli. Instansi yenye violesura kadhaa au huduma kadhaa kwenye bandari moja inahitaji ukaguzi kwa kila kiolesura, kwa sababu vikundi vilivyounganishwa vinaweza kutofautiana. Kisha tambua ni anwani gani ya chanzo ambayo kiolesura hicho hupokea kweli kwa mtumiaji wa VPN, badala ya anwani ambayo mteja anaonyesha kwenye dirisha lake la muunganisho.

Anwani hizo mbili hutofautiana mara nyingi zaidi kuliko watu wanavyotarajia mara tu tafsiri na uelekezaji vinapoingia.

Mifano mitatu ya chanzo, kanuni tatu tofauti

Kwa ufikiaji wa kibinafsi ulioelekezwa, instansi hupokea dimbwi la wateja au safu ya shirika, kulingana na jinsi njia inavyoelekezwa na kutafsiriwa. Kwa kituo cha mwisho cha umma kinachofikiwa kupitia njia ya kutoka ya shirika, instansi huona anwani ya NAT ya shirika badala yake, na tu ikiwa lengo hilo linatumia kweli njia ya VPN, kwa kuwa tuneli iliyogawanywa inaweza kuiacha kwenye muunganisho wa nyumbani. Kwa kituo cha mwisho cha Client VPN kinachosimamiwa, modeli iliyoandikwa ya uhusiano na mtandao lengwa inatumika, na anwani ya mteja inatoka kwenye CIDR ya mteja iliyosanidiwa.

Kisichofanya kazi ni kurejelea lango la VPN kama chanzo cha kikundi cha usalama. Marejeleo ya vikundi yanalingana na violesura vya mtandao vinavyonyumbulika ndani ya VPC au mtandao uliounganishwa, na lango linalopeleka pakiti si moja yao.

Soma muungano katika kila kikundi kilichounganishwa

Fungua instansi, pata kiolesura chake cha mtandao, na uorodheshe kila kikundi cha usalama kilichounganishwa nacho. Kwa kila kimoja, angalia kila kanuni inayoshughulikia itifaki na bandari yako, ikiwa ni pamoja na safu pana za bandari na familia zote mbili za anwani. Kanuni ya IPv4 kutoka 0.0.0.0/0 haikukuzuii kuangalia ::/0, na kanuni inayoruhusu trafiki yote huficha swali la bandari kabisa. Ni baada ya orodha hiyo tu unaweza kusema ruhusa yenye matokeo kwa huduma ni ipi.

Rejeleo la kanuni la AWS linaelezea vikundi vya usalama kuwa vya kuruhusu-tu na linasema kuwa kanuni kutoka kwa vikundi vyote vilivyounganishwa huunganishwa, na hiyo ndiyo mfumo mzima wa kiufundi nyuma ya kushindwa huku.

ACL za mtandao ni sera tofauti isiyo na hali na maingizo yaliyopangwa ya kuruhusu na kukataa, na hutathminiwa kwenye subneti badala ya instansi.

Usijibu kwa ukuta wa kukataa

Kuongeza kukataa kwa NACL kwa subneti nzima ili kuiga firewall uliyoizoea ni chombo kibaya na cha hatari. Maingizo ya NACL yamepangwa na hayana hali, kwa hivyo kukataa kunakowekwa juu ya ruhusa iliyopo huvunja trafiki isiyohusiana kimya kimya, ikiwa ni pamoja na njia ya kurudi kwa vipindi ulivyokuwa ukijaribu kuhifadhi. Rekebisha ruhusa pana ya kikundi cha usalama katika kikundi kinachomiliki, kisha uachie ACL peke yake isipokuwa kweli ni sehemu ya muundo.

Kuondoa anwani ya umma kutoka kwa instansi ni dhamana yenye nguvu zaidi, na pia ni mabadiliko ya usanifu yenye matokeo ya kiutawala na ya programu, si kisanduku cha kuteua kwenye orodha ya ruhusa.

Jaribu kwa kipindi kipya na uendelee kuwa na njia ya kuingia

Kabla ya kuondoa ruhusa yoyote iliyopo, thibitisha njia huru ya utawala iliyoidhinishwa, kwa sababu kanuni unayokaribia kufuta inaweza kuwa ile ambayo urejeshaji wa kipindi chako unategemea. Kisha jaribu muunganisho mpya unaoruhusiwa kutoka VPN na muunganisho mpya unaokataliwa kutoka njia ya majaribio iliyoidhinishwa isiyo ya VPN. Vipindi vilivyofuatiliwa vilivyopo hustahimili mabadiliko ya kanuni kwa njia zinazofanya makombora ya zamani yaliyofunguliwa yasiwe na maana kama ushahidi wa kukubalika.

Mwisho, weka idhini ya programu yenyewe mahali pake. Njia ya kutoka ya shirika iliyotafsiriwa inaweza kuwakilisha mamia ya watu, na kiingilio cha mtandao hakijawahi kumtambua mtumiaji binafsi au kifaa chake.