AWS Client VPN నియమాలు వనరు వద్ద ఉండాలి, సబ్నెట్ వద్ద కాదు

సిబ్బంది VPC లో ఒక అప్లికేషన్‌ను చేరుకోవాలి మరియు అదే ఇన్‌స్టాన్స్‌లోని డేటాబేస్ శ్రోతను చేరుకోకూడదు, కాబట్టి ఎవరో VPN endpoint కోసం రెండవ పబ్లిక్ సబ్నెట్‌ను జోడించి అవసరం తీరిందని ప్రకటిస్తారు. సబ్నెట్ స్థానం రూటింగ్ మరియు లభ్యతను మారుస్తుంది. అది ఒక పోర్టును ఇవ్వదు లేదా నిరోధించదు. అవసరాన్ని వ్యక్తపరిచే అనుమతి గమ్యస్థానంలో, వనరు భద్రతా సమూహంలో ఉంటుంది, మరియు VPN సరిహద్దు ఆ నియమం సూచించే హ్యాండిల్‌ను అందిస్తుంది.

సబ్నెట్ స్థానం రూటింగ్, అధికారం కాదు

endpoint నెట్‌వర్క్ సంబంధం ఎక్కడ ఉందో అనేది ఏ రూట్ పట్టిక క్లయింట్ ట్రాఫిక్‌ను మోస్తుంది మరియు ఏ లభ్యత జోన్‌లు వైఫల్యాన్ని తట్టుకుంటాయో నిర్ణయిస్తుంది. ఆ ట్రాఫిక్ ఏ ఇన్‌స్టాన్స్‌లోని ఏ పోర్టును చేరుకోగలదో అది ఏమీ చెప్పదు. ఒకే సబ్నెట్‌తో అనుసంధానించిన ఇద్దరు క్లయింట్లు ఇప్పటికీ అదే మూల గుర్తింపుతో వస్తారు, మరియు వనరు వారిని సబ్నెట్ పేరుతో వేరు చేయలేదు.

బదులుగా అవసరం నుండి ప్రారంభించండి: ఎవరు కాల్ చేస్తారు, ఏ వనరు, ఏ సేవా పోర్ట్ మరియు ఏ దిశ. తర్వాత ఆ నాలుగు విషయాలను గమ్యస్థానంలో వ్యక్తపరచగల నియమ నమూనాను ఎంచుకోండి. ఆ దృక్పథం సాధారణంగా అదనపు సబ్నెట్‌ను డిజైన్ నుండి పూర్తిగా తొలగిస్తుంది.

Client VPN సంబంధ సమూహమే ఆ హ్యాండిల్

సబ్నెట్‌తో అనుసంధానించిన AWS Client VPN endpoint కోసం నమోదైన ఏర్పాటు నిర్దిష్టం. ఉద్దేశించిన భద్రతా సమూహాన్ని endpoint లక్ష్య నెట్‌వర్క్ సంబంధాలపై వర్తించి, తర్వాత ఆ Client VPN సమూహాన్ని మూలంగా ఉపయోగించి వనరు భద్రతా సమూహంలో అవసరమైన ట్రాఫిక్‌ను అనుమతించండి.

ప్రత్యేకంగా, అప్లికేషన్ ఇన్‌స్టాన్స్ సమూహం సంబంధ సమూహం నుండి అప్లికేషన్ పోర్టును మాత్రమే అనుమతిస్తుంది, మరేమీ కాదు. AWS వనరు యాక్సెస్ విధానం ఆ సంబంధాన్ని వివరిస్తుంది, మరియు endpoint అనుసంధానించే ప్రతి సబ్నెట్‌లో అదే సమూహ విధానాన్ని ఉంచుకోవడం విలువైనది, ఎందుకంటే వేరే సమూహంతో పాత సంబంధం సరిహద్దును నిశ్శబ్దంగా విస్తరిస్తుంది.

ఆ నియమం ఎవరినీ ప్రామాణీకరించదు. లాగిన్ ప్రత్యేక నియంత్రణ, మరియు వనరు వైపు మార్గం మూడవది. అభ్యర్థన రాకముందు మూడూ నిజమై ఉండాలి. ఏది విఫలమైతే అది ఏ సవరణ సరైనదో నిర్ణయిస్తుంది, మరియు నియమ మార్పు మొదటిదానికి మాత్రమే సరైన సమాధానం.

ఒక సంబంధ సమూహం వేరు చేయలేనిది

ఒకే సంబంధ సమూహం వెనుక ఉన్న ప్రతి క్లయింట్ అదే భద్రతా సమూహ మూలంగా వనరును చేరుకుంటుంది. వేర్వేరు పాత్రలున్న ఇద్దరు వినియోగదారులు ఆ పొరలో వేరు చేయలేము, సమూహం ఎలా పేరు పెట్టినా ట్యాగ్ చేసినా. Client VPN బాహ్య సమూహ అధికారం డైరెక్టరీ లేదా SAML సమూహానికి గమ్య ఉపసర్గ ప్రకారం యాక్సెస్‌ను పరిమితం చేస్తుంది, ఇది వనరు పాత్ర కంటే మోటుగా ఉంటుంది మరియు గుర్తింపు వ్యవస్థగా కాకుండా నెట్‌వర్క్ సరిహద్దుగా పరిగణించాలి.

సూక్ష్మ భేదాలు అప్లికేషన్‌కు చెందుతాయి. చాలా మంది సిబ్బందికి మూసి ఉండాల్సిన డేటాబేస్ శ్రోతను, అనుమతించిన ఉపసర్గలో అసలు చేరుకోలేనిదిగా ఉంచడం ద్వారా సమూహ సభ్యత్వం చక్కగా ఉంటుందని ఆశించడం కంటే మెరుగ్గా రక్షించబడుతుంది.

సమూహాన్ని పేరు మార్చడం గుర్తింపును సృష్టించదు, మరియు ప్రతి బృందానికి నకలు చేయడం తనిఖీ చేయాల్సిన సంబంధాలను మాత్రమే పెంచుతుంది.

ఆ నియమాన్ని ప్రతి VPN డిజైన్‌కు కాపీ చేయవద్దు

స్వయం-నిర్వహిత EC2 VPN గేట్‌వే, రూట్ చేసిన తనిఖీ పరికరం మరియు నిర్వహిత Client VPN మూడు వేర్వేరు ప్యాకెట్ మార్గాలు. ఏ మూల చిరునామా నిజంగా వనరును చేరుకుంటుంది, మధ్యలో అనువాదం జరుగుతుందా, ఆ మార్గంలో సేవ ఏ సూచన విధానాలను మద్దతిస్తుంది అనేది నిర్ణయించండి.

మధ్యవర్తి పరికరం ద్వారా ట్రాఫిక్ పంపడం నేరు ఇన్‌స్టాన్స్-నుండి-ఇన్‌స్టాన్స్ ట్రాఫిక్ లాగా మూల భద్రతా సమూహ సూచనను కాపాడదు. అలాంటి డిజైన్లకు సమూహ సూచనకు బదులు సరైన ప్రైవేట్ మూల చిరునామాలు లేదా CIDR అవసరం కావచ్చని AWS నమోదు చేస్తుంది. నిర్వహిత Client VPN విధానం, ప్రతి గేట్‌వే యొక్క జోడించిన సమూహం పంపిన ప్యాకెట్లకు సార్వత్రిక గుర్తింపు టోకెన్‌గా పనిచేస్తుందని రుజువు కాదు.

మార్గంలో ఒక NAT దూకుడు ఊహను బద్దలు కొట్టడానికి సరిపోతుంది, మరియు వైఫల్యం ఉన్నా ఎప్పుడూ సరిపోలని నియమంలా కనిపిస్తుంది.

ప్రభావవంత సరిహద్దును సమీక్షించండి

వనరుకు జోడించిన ప్రతి భద్రతా సమూహాన్ని చదవండి, ఎందుకంటే అనుమతి నియమాలు కలుస్తాయి మరియు ఇరుకైన నియమం మరొక సమూహంలోని విశాలమైన నియమాన్ని రద్దు చేయదు. తర్వాత నెట్‌వర్క్ ACL, హోస్ట్ ఫైర్‌వాల్ మరియు అప్లికేషన్ స్వంత అధికారాన్ని తనిఖీ చేయండి, ఇవి వేర్వేరు తప్పులున్న వేర్వేరు పొరలు.

అదే వనరుపై ఒక అనుమతించిన మరియు ఒక ఉద్దేశపూర్వకంగా మినహాయించిన అభ్యర్థనతో ముగించండి. ఆ జంట సరిహద్దును రుజువు చేస్తుంది, ఒకే విజయవంత కనెక్షన్ ఏదో తెరిచి ఉందని మాత్రమే రుజువు చేస్తుంది. endpoint ఉన్న సబ్నెట్‌కు బదులు మార్గం, ప్రభావవంత మూలం మరియు ఉద్దేశించిన సేవా పోర్టును నిర్ధారించండి.

పని క్రమం: నాలుగు భాగాల అవసరాన్ని రాయండి, సమూహాన్ని సంబంధాలకు జోడించండి, వనరు నియమాన్ని పోర్టుకు పరిమితం చేయండి, ఒక అనుమతి మరియు ఒక తిరస్కరణను ధృవీకరించండి, ఆ తర్వాత మాత్రమే రూటింగ్ కారణాల కోసం సబ్నెట్లను విభజించడాన్ని పరిగణించండి.