EC2-க்கான VPN-மட்டும் விதி: இணைக்கப்பட்ட ஒவ்வொரு பாதுகாப்பு குழுவும் ஒப்புக்கொள்ள வேண்டும்

VPN கிளையன்ட் குளத்திற்காக ஒரு உள்வரும் விதியைச் சேர்க்கிறீர்கள், எதையும் அகற்றவில்லை, இருந்தபோதிலும் சேவை இன்னும் இணையத்திலிருந்து அணுகக்கூடியதாக உள்ளது. எதுவும் உடைந்து விடவில்லை. பாதுகாப்பு குழுவில் குறுகிய விதி வெல்லக்கூடிய எந்த மேலெழுதல், முன்னுரிமை அல்லது இறுதி மறுப்பும் இல்லை. இன்ஸ்டன்ஸுடன் இணைக்கப்பட்ட ஒவ்வொரு குழுவும் அதன் அனுமதிகளை ஒரு ஒருங்கிணைந்த தொகுப்பில் சேர்க்கிறது, நீங்கள் மறந்துவிட்ட பரந்த விதி இன்னும் அந்தத் தொகுப்பில் உள்ளது. இன்ஸ்டன்ஸை VPN-மட்டும் ஆக்குவது என்பது அனைத்தையும் தணிக்கை செய்வதே, ஒன்றுக்கு நன்றாக ஒலிக்கும் விதியைச் சேர்ப்பது அல்ல.

விதியை எழுதுவதற்கு முன் சேவையை எழுதுங்கள்

சரியான இலக்கு, நெறிமுறை மற்றும் போர்ட்டில் இருந்தும், சேவை உண்மையில் கேட்கும் பிணைய இடைமுகத்திலிருந்தும் தொடங்குங்கள். பல இடைமுகங்கள் அல்லது ஒரு போர்ட்டில் பல சேவைகள் கொண்ட இன்ஸ்டன்ஸுக்கு ஒவ்வொரு இடைமுகத்திற்கும் தணிக்கை தேவை, ஏனெனில் இணைக்கப்பட்ட குழுக்கள் வேறுபடலாம். பின்னர் தீர்மானிக்கவும் அந்த இடைமுகம் VPN பயனருக்கு உண்மையில் எந்த மூல முகவரியைப் பெறுகிறது, கிளையன்ட் தன் சொந்த இணைப்பு சாளரத்தில் காட்டும் முகவரி அல்ல.

மொழிபெயர்ப்பும் வழிசெலுத்தலும் சம்பந்தப்பட்டவுடன் இந்த இரண்டு முகவரிகளும் மக்கள் எதிர்பார்ப்பதை விட அடிக்கடி வேறுபடுகின்றன.

மூன்று மூல மாதிரிகள், மூன்று வெவ்வேறு விதிகள்

தனியார் வழிசெலுத்தப்பட்ட அணுகலுடன், பாதை எவ்வாறு வழிசெலுத்தப்பட்டு மொழிபெயர்க்கப்படுகிறது என்பதைப் பொறுத்து இன்ஸ்டன்ஸ் கிளையன்ட் குளம் அல்லது நிறுவன வரம்பைப் பெறுகிறது. நிறுவன வெளியேற்றம் வழியாக அடையப்படும் பொது முனைப்புள்ளியுடன், இன்ஸ்டன்ஸ் அதற்குப் பதிலாக நிறுவன NAT முகவரியைப் பார்க்கிறது, அந்த இலக்கு உண்மையில் VPN பாதையைப் பயன்படுத்தினால் மட்டுமே, ஏனெனில் பிளவு சுரங்கப்பாதை அதை வீட்டு இணைப்பில் விட்டுவிடலாம். நிர்வகிக்கப்படும் Client VPN முனைப்புள்ளியுடன், ஆவணப்படுத்தப்பட்ட சங்கம் மற்றும் இலக்கு-பிணைய மாதிரி பொருந்தும், கிளையன்ட் முகவரி உள்ளமைக்கப்பட்ட கிளையன்ட் CIDR-இலிருந்து வருகிறது.

வேலை செய்யாதது VPN நுழைவாயிலை பாதுகாப்பு குழுவின் மூலமாகக் குறிப்பிடுவது. குழு குறிப்புகள் VPC அல்லது இணைக்கப்பட்ட பிணையத்தின் உள்ளே உள்ள மீள்தன்மை பிணைய இடைமுகங்களுடன் பொருந்துகின்றன, மேலும் பொதிகளை அனுப்பும் நுழைவாயில் அவற்றில் ஒன்று அல்ல.

ஒவ்வொரு இணைக்கப்பட்ட குழுவிலும் ஒன்றியத்தைப் படியுங்கள்

இன்ஸ்டன்ஸைத் திறந்து, அதன் பிணைய இடைமுகத்தைக் கண்டுபிடித்து, அதனுடன் இணைக்கப்பட்ட ஒவ்வொரு பாதுகாப்பு குழுவையும் பட்டியலிடுங்கள். ஒவ்வொன்றிற்கும், உங்கள் நெறிமுறை மற்றும் போர்ட்டை உள்ளடக்கிய ஒவ்வொரு விதியையும் சரிபார்க்கவும், பரந்த போர்ட் வரம்புகள் மற்றும் இரு முகவரி குடும்பங்கள் உட்பட. 0.0.0.0/0 இலிருந்து IPv4 விதி ::/0 ஐச் சரிபார்ப்பதிலிருந்து உங்களை விடுவிக்காது, அனைத்து போக்குவரத்தையும் அனுமதிக்கும் விதி போர்ட் கேள்வியை முழுவதுமாக மறைக்கிறது. அந்தப் பட்டியலுக்குப் பிறகுதான் சேவைக்கான பயனுள்ள அனுமதி என்ன என்று சொல்ல முடியும்.

AWS விதி குறிப்பு பாதுகாப்பு குழுக்களை அனுமதி-மட்டும் என விவரிக்கிறது, அனைத்து இணைக்கப்பட்ட குழுக்களின் விதிகளும் ஒருங்கிணைக்கப்படுகின்றன என்று கூறுகிறது, இந்தத் தோல்விக்குப் பின்னால் உள்ள முழு பொறிமுறையும் அதுவே.

பிணைய ACL என்பது வரிசைப்படுத்தப்பட்ட அனுமதி மற்றும் மறுப்பு உள்ளீடுகளைக் கொண்ட தனி, நிலையற்ற கொள்கை, அவை இன்ஸ்டன்ஸில் அல்ல, துணைப்பிணையத்தில் மதிப்பிடப்படுகின்றன.

மறுப்புச் சுவரால் பதிலளிக்க வேண்டாம்

நீங்கள் பழக்கமான ஃபயர்வாலைப் பின்பற்ற துணைப்பிணையளவு NACL மறுப்பைச் சேர்ப்பது தவறான கருவி மற்றும் ஆபத்தானது. NACL உள்ளீடுகள் வரிசைப்படுத்தப்பட்டவை மற்றும் நிலையற்றவை, எனவே ஏற்கனவே உள்ள அனுமதிக்கு மேலே வைக்கப்படும் மறுப்பு தொடர்பற்ற போக்குவரத்தை அமைதியாக உடைக்கிறது, நீங்கள் வைத்திருக்க முயன்ற அமர்வுகளின் திரும்பும் பாதை உட்பட. பரந்த பாதுகாப்பு குழு அனுமதியை அதைச் சொந்தமாகக் கொண்ட குழுவிலேயே சரிசெய்து, பின்னர் ACL உண்மையில் வடிவமைப்பின் பகுதியாக இல்லாவிட்டால் அதைத் தனியாக விடுங்கள்.

இன்ஸ்டன்ஸிலிருந்து பொது முகவரியை அகற்றுவது வலுவான உத்தரவாதம், அது நிர்வாக மற்றும் பயன்பாட்டு விளைவுகளைக் கொண்ட கட்டமைப்பு மாற்றமும் ஆகும், அனுமதிப் பட்டியலில் ஒரு சரிபார்ப்புப் பெட்டி அல்ல.

புதிய அமர்வுடன் சோதித்து உள்ளே வரும் வழியை வைத்திருங்கள்

எந்தவொரு தற்போதைய அனுமதியையும் நீக்குவதற்கு முன் அங்கீகரிக்கப்பட்ட சுயாதீன நிர்வாகப் பாதையை உறுதிப்படுத்துங்கள், ஏனெனில் நீங்கள் நீக்கப்போகும் விதியே உங்கள் அமர்வு மீட்பு சார்ந்திருக்கும் விதியாக இருக்கலாம். பின்னர் VPN-இலிருந்து புதிய அனுமதிக்கப்பட்ட இணைப்பையும் அங்கீகரிக்கப்பட்ட VPN-அல்லாத சோதனைப் பாதையிலிருந்து புதிய மறுக்கப்பட்ட இணைப்பையும் சோதிக்கவும். தற்போதைய கண்காணிக்கப்பட்ட அமர்வுகள் விதி மாற்றங்களைத் தாங்குகின்றன, இதனால் பழைய திறந்த ஷெல்கள் ஏற்புச் சான்றாக பயனற்றவையாகின்றன.

இறுதியாக, பயன்பாட்டின் சொந்த அங்கீகாரத்தை அதன் இடத்திலேயே வைத்திருங்கள். மொழிபெயர்க்கப்பட்ட நிறுவன வெளியேற்றம் நூற்றுக்கணக்கான மக்களைப் பிரதிநிதித்துவப்படுத்தலாம், பிணைய அனுமதி ஒருபோதும் தனிப்பட்ட பயனர் அல்லது அவரது சாதனத்தை அடையாளம் கண்டதில்லை.