AWS Client VPN விதிகள் வளத்தில் இருக்க வேண்டும், சப்நெட்டில் அல்ல

பணியாளர்கள் VPC இல் ஒரு பயன்பாட்டை அடைய வேண்டும், அதே இன்ஸ்டன்ஸில் உள்ள தரவுத்தளக் கேட்பானை அடையக்கூடாது, எனவே யாரோ VPN endpoint க்கு இரண்டாவது பொது சப்நெட்டைச் சேர்த்து தேவை நிறைவேறியதாக அறிவிக்கிறார். சப்நெட்டின் இடம் வழித்தடம் மற்றும் கிடைக்கும் தன்மையை மாற்றுகிறது. அது ஒரு போர்ட்டையும் வழங்கவோ தடுக்கவோ இல்லை. தேவையை வெளிப்படுத்தும் அனுமதி இலக்கில், வளத்தின் பாதுகாப்புக் குழுவில் உள்ளது, மேலும் VPN எல்லை அந்த விதி குறிப்பிடும் கைப்பிடியை வழங்குகிறது.

சப்நெட்டின் இடம் வழித்தடம், அனுமதி அல்ல

endpoint இன் பிணைய இணைப்பு எங்கே உள்ளது என்பது எந்த வழித்தட அட்டவணை வாடிக்கையாளர் போக்குவரத்தைக் கொண்டு செல்கிறது, எந்தக் கிடைக்கும் மண்டலங்கள் தோல்வியைத் தாங்கும் என்பதைத் தீர்மானிக்கிறது. அந்தப் போக்குவரத்து எந்த இன்ஸ்டன்ஸின் எந்தப் போர்ட்டை அடையலாம் என்பதை அது எதுவும் கூறவில்லை. ஒரே சப்நெட்டுடன் இணைக்கப்பட்ட இரு வாடிக்கையாளர்களும் அதே மூல அடையாளத்துடன் வருகின்றனர், வளம் அவர்களை சப்நெட் பெயரால் வேறுபடுத்த முடியாது.

அதற்குப் பதிலாக தேவையிலிருந்து தொடங்குங்கள்: யார் அழைக்கிறார், எந்த வளம், எந்தச் சேவைப் போர்ட், எந்தத் திசை. பின்னர் அந்த நான்கையும் இலக்கில் வெளிப்படுத்தக்கூடிய விதி மாதிரியைத் தேர்ந்தெடுக்கவும். அந்த அணுகுமுறை பொதுவாக கூடுதல் சப்நெட்டை வடிவமைப்பிலிருந்து முழுமையாக நீக்குகிறது.

Client VPN இணைப்புக் குழுவே அந்தக் கைப்பிடி

சப்நெட்டுடன் இணைக்கப்பட்ட AWS Client VPN endpoint க்கு ஆவணப்படுத்தப்பட்ட ஏற்பாடு குறிப்பானது. எண்ணிய பாதுகாப்புக் குழுவை endpoint இன் இலக்கு பிணைய இணைப்புகளுக்குப் பயன்படுத்தி, பின்னர் அந்த Client VPN குழுவை மூலமாகப் பயன்படுத்தி வளத்தின் பாதுகாப்புக் குழுவில் தேவையான போக்குவரத்தை அனுமதிக்கவும்.

குறிப்பாக, பயன்பாட்டு இன்ஸ்டன்ஸின் குழு இணைப்புக் குழுவிலிருந்து பயன்பாட்டுப் போர்ட்டை மட்டும் அனுமதிக்கிறது, வேறு எதையும் அல்ல. AWS இன் வள அணுகல் நடைமுறை அந்த உறவை விவரிக்கிறது, endpoint இணைக்கும் ஒவ்வொரு சப்நெட்டிலும் அதே குழுக் கொள்கையை வைத்திருப்பது மதிப்புள்ளது, ஏனெனில் வேறு குழுவுடனான பழைய இணைப்பு எல்லையை அமைதியாக விரிவாக்குகிறது.

அந்த விதி யாரையும் அங்கீகரிக்கவில்லை. உள்நுழைவு தனி கட்டுப்பாடு, வளத்திற்கான பாதை மூன்றாவது. கோரிக்கை வருவதற்கு முன் மூன்றும் சரியாக இருக்க வேண்டும். எது தோல்வியடைகிறது என்பது எந்தத் திருத்தம் சரி என்பதைத் தீர்மானிக்கிறது, விதியை மாற்றுவது முதல் ஒன்றுக்கு மட்டுமே சரியான பதில்.

ஒரு இணைப்புக் குழு வேறுபடுத்த முடியாதவை

ஒரே இணைப்புக் குழுவின் பின்னால் உள்ள ஒவ்வொரு வாடிக்கையாளரும் அதே பாதுகாப்புக் குழு மூலமாக வளத்தை அடைகிறார். வெவ்வேறு பாத்திரங்களைக் கொண்ட இரண்டு பயனர்கள் அந்த அடுக்கில் வேறுபடுத்த முடியாதவர்கள், குழு எப்படி பெயரிடப்பட்டாலும் குறியிடப்பட்டாலும். Client VPN இன் வெளிப்புறக் குழு அனுமதி அடைவு அல்லது SAML குழுவுக்கு இலக்கு முன்னொட்டின் அடிப்படையில் அணுகலைக் கட்டுப்படுத்துகிறது, இது வளப் பாத்திரத்தை விட கரடுமுரடானது, அடையாள அமைப்பாக அல்ல, பிணைய எல்லையாகக் கருதப்பட வேண்டும்.

நுட்பமான வேறுபாடுகள் பயன்பாட்டுக்கு உரியவை. பெரும்பாலான பணியாளர்களுக்கு மூடியிருக்க வேண்டிய தரவுத்தளக் கேட்பான், அனுமதிக்கப்பட்ட முன்னொட்டில் முற்றிலும் அணுக முடியாததாக இருப்பதன் மூலம் குழு உறுப்பினர்த்துவம் ஒழுங்காக இருக்கும் என்று எதிர்பார்ப்பதை விட நன்கு பாதுகாக்கப்படுகிறது.

குழுவை மறுபெயரிடுவது அடையாளத்தை உருவாக்காது, ஒவ்வொரு குழுவுக்கும் அதை நகலெடுப்பது தணிக்கை செய்ய வேண்டிய இணைப்புகளை மட்டுமே பெருக்குகிறது.

அந்த விதியை ஒவ்வொரு VPN வடிவமைப்பிற்கும் நகலெடுக்க வேண்டாம்

சுய-நிர்வகிக்கப்பட்ட EC2 VPN நுழைவாயில், வழிப்படுத்தப்பட்ட ஆய்வுக் கருவி மற்றும் நிர்வகிக்கப்பட்ட Client VPN ஆகியவை மூன்று வெவ்வேறு பாக்கெட் பாதைகள். எந்த மூல முகவரி உண்மையில் வளத்தை அடைகிறது, இடையில் மொழிபெயர்ப்பு நடைபெறுகிறதா, அந்தப் பாதையில் சேவை எந்தக் குறிப்பு முறைகளை ஆதரிக்கிறது என்பதைத் தீர்மானிக்கவும்.

இடைநிலைச் சாதனம் வழியாகப் போக்குவரத்தை அனுப்புவது நேரடி இன்ஸ்டன்ஸ்-க்கு-இன்ஸ்டன்ஸ் போக்குவரத்தைப் போல மூல பாதுகாப்புக் குழு குறிப்பைப் பாதுகாக்காது. அத்தகைய வடிவமைப்புகளுக்குக் குழுக் குறிப்புக்குப் பதிலாக பொருத்தமான தனிப்பட்ட மூல முகவரிகள் அல்லது CIDR தேவைப்படலாம் என AWS ஆவணப்படுத்துகிறது. நிர்வகிக்கப்பட்ட Client VPN நடைமுறை, ஒவ்வொரு நுழைவாயிலின் இணைக்கப்பட்ட குழு அனுப்பப்பட்ட பாக்கெட்டுகளுக்கு உலகளாவிய அடையாள டோக்கனாகச் செயல்படுகிறது என்பதற்கான சான்று அல்ல.

பாதையில் ஒரு NAT தாவல் போதும் அனுமானத்தை உடைக்க, தோல்வி இருப்பதும் ஒருபோதும் பொருந்தாததுமான விதிபோலத் தெரிகிறது.

பயனுள்ள எல்லையை மதிப்பாய்வு செய்யுங்கள்

வளத்துடன் இணைக்கப்பட்ட ஒவ்வொரு பாதுகாப்புக் குழுவையும் படியுங்கள், ஏனெனில் அனுமதி விதிகள் சேர்கின்றன, குறுகிய விதி மற்றொரு குழுவின் பரந்த விதியை ரத்து செய்யாது. பின்னர் பிணைய ACL, ஹோஸ்ட் ஃபயர்வால் மற்றும் பயன்பாட்டின் சொந்த அனுமதி ஆகியவற்றைச் சரிபார்க்கவும், அவை தனித்தனி பிழைகளைக் கொண்ட தனித்தனி அடுக்குகள்.

ஒரே வளத்திற்கு எதிராக ஒரு அனுமதிக்கப்பட்ட மற்றும் ஒரு வேண்டுமென்றே விலக்கப்பட்ட கோரிக்கையுடன் முடிக்கவும். அந்த இணை எல்லையை நிரூபிக்கிறது, ஒரு வெற்றிகரமான இணைப்பு ஏதோ திறந்திருப்பதை மட்டுமே நிரூபிக்கிறது. endpoint உள்ள சப்நெட்டை அல்ல, பாதை, பயனுள்ள மூலம் மற்றும் எண்ணிய சேவைப் போர்ட்டை உறுதிப்படுத்துங்கள்.

வேலை வரிசை: நான்கு பகுதி தேவையை எழுதுங்கள், குழுவை இணைப்புகளுடன் இணைக்கவும், வள விதியைப் போர்ட்டில் வரம்பிடவும், ஒரு அனுமதியும் ஒரு மறுப்பையும் சரிபார்க்கவும், அதன் பின்னரே வழித்தடக் காரணங்களுக்காக சப்நெட்டுகளைப் பிரிப்பதைப் பரிசீலிக்கவும்.