EC2 కోసం VPN-మాత్రమే నియమం: జోడించిన ప్రతి భద్రతా సమూహం అంగీకరించాలి
భద్రతా సమూహాలు అనుమతి మాత్రమే ఇస్తాయి, జోడించిన ప్రతి సమూహం తన స్వంత అనుమతిని జోడిస్తుంది. సన్నని VPN నియమాన్ని జోడించే ముందు ఇన్స్టాన్స్ నిజంగా ఏ మూలాన్ని చూస్తుందో నిర్ణయించండి.
మీరు VPN క్లయింట్ పూల్ కోసం ఒక ఇన్‌బౌండ్ నియమాన్ని జోడిస్తారు, ఏమీ తొలగించరు, అయినా సేవ ఇప్పటికీ ఇంటర్నెట్ నుండి చేరుకోగలిగినదే ఉంది. ఏదీ పాడవలేదు. భద్రతా సమూహంలో సన్నని నియమం గెలవగల ఏ ఓవర్‌రైడ్, ప్రాధాన్యత లేదా తుది తిరస్కరణ లేదు. ఇన్స్టాన్స్‌కు జోడించిన ప్రతి సమూహం తన అనుమతులను ఒకే సంయుక్త సెట్‌కు జోడిస్తుంది, మరియు మీరు మరచిపోయిన విస్తృత నియమం ఇప్పటికీ ఆ సెట్‌లో ఉంది. ఇన్స్టాన్స్‌ను VPN-మాత్రమే చేయడం అంటే అన్నింటినీ ఆడిట్ చేయడం, ఒకదానికి బాగా వినిపించే నియమాన్ని జోడించడం కాదు.
నియమం రాసే ముందు సేవను రాయండి
ఖచ్చితమైన గమ్యం, ప్రోటోకాల్ మరియు పోర్ట్ నుండి ప్రారంభించండి, మరియు సేవ నిజంగా వినిపించే నెట్‌వర్క్ ఇంటర్‌ఫేస్ నుండి కూడా. అనేక ఇంటర్‌ఫేస్‌లు లేదా ఒకే పోర్ట్‌లో అనేక సేవలు ఉన్న ఇన్స్టాన్స్‌కు ప్రతి ఇంటర్‌ఫేస్‌కు ఆడిట్ అవసరం, ఎందుకంటే జోడించిన సమూహాలు భిన్నంగా ఉండవచ్చు. ఆపై నిర్ణయించండి ఆ ఇంటర్‌ఫేస్ VPN వినియోగదారు కోసం నిజంగా ఏ మూల చిరునామాను పొందుతుంది, క్లయింట్ తన సొంత కనెక్షన్ విండోలో చూపించే చిరునామా కాదు.
అనువాదం మరియు రూటింగ్ ప్రమేయం ఉన్నప్పుడు ఈ రెండు చిరునామాలు ప్రజలు ఊహించినదానికంటే ఎక్కువసార్లు భిన్నంగా ఉంటాయి.
మూడు మూల నమూనాలు, మూడు వేర్వేరు నియమాలు
ప్రైవేట్ రూటెడ్ యాక్సెస్‌తో, మార్గం ఎలా రూట్ చేయబడి అనువదించబడుతుందనే దానిపై ఆధారపడి ఇన్స్టాన్స్ క్లయింట్ పూల్ లేదా కార్పొరేట్ పరిధిని పొందుతుంది. కార్పొరేట్ ఎగ్రెస్ ద్వారా చేరుకునే పబ్లిక్ ఎండ్‌పాయింట్‌తో, ఇన్స్టాన్స్ బదులుగా కార్పొరేట్ NAT చిరునామాను చూస్తుంది, మరియు ఆ గమ్యం నిజంగా VPN మార్గాన్ని ఉపయోగిస్తేనే, ఎందుకంటే విభజిత టన్నెలింగ్ దానిని ఇంటి కనెక్షన్‌పై వదిలేయగలదు. నిర్వహిత Client VPN ఎండ్‌పాయింట్‌తో, డాక్యుమెంట్ చేయబడిన అసోసియేషన్ మరియు లక్ష్య-నెట్‌వర్క్ నమూనా వర్తిస్తుంది, క్లయింట్ చిరునామా కాన్ఫిగర్ చేసిన క్లయింట్ CIDR నుండి వస్తుంది.
పనిచేయనిది VPN గేట్‌వేను భద్రతా సమూహ మూలంగా సూచించడం. సమూహ సూచనలు VPC లేదా పీర్ చేసిన నెట్‌వర్క్ లోపలి సాగే నెట్‌వర్క్ ఇంటర్‌ఫేస్‌లతో సరిపోతాయి, ప్యాకెట్‌లను ఫార్వార్డ్ చేసే గేట్‌వే వాటిలో ఒకటి కాదు.
ప్రతి జోడించిన సమూహంలో యూనియన్ చదవండి
ఇన్స్టాన్స్ తెరవండి, దాని నెట్‌వర్క్ ఇంటర్‌ఫేస్ కనుగొని, దానికి జోడించిన ప్రతి భద్రతా సమూహాన్ని జాబితా చేయండి. ప్రతి దానికి, మీ ప్రోటోకాల్ మరియు పోర్ట్‌ను కవర్ చేసే ప్రతి నియమాన్ని తనిఖీ చేయండి, విస్తృత పోర్ట్ పరిధులు మరియు రెండు చిరునామా కుటుంబాలు సహా. 0.0.0.0/0 నుండి IPv4 నియమం ::/0 తనిఖీ చేయడం నుండి మిమ్మల్ని మినహాయించదు, మరియు మొత్తం ట్రాఫిక్‌ను అనుమతించే నియమం పోర్ట్ ప్రశ్నను పూర్తిగా దాచుతుంది. ఆ జాబితా తర్వాతే సేవకు ప్రభావవంతమైన అనుమతి ఏమిటో చెప్పగలరు.
AWS నియమ సూచన భద్రతా సమూహాలను అనుమతి-మాత్రమేగా వివరిస్తుంది మరియు అన్ని జోడించిన సమూహాల నియమాలు సమీకరించబడతాయని పేర్కొంటుంది, మరియు ఈ వైఫల్యం వెనుక ఉన్న మొత్తం యంత్రాంగం అదే.
నెట్‌వర్క్ ACL క్రమబద్ధమైన అనుమతి మరియు తిరస్కరణ ఎంట్రీలతో కూడిన ప్రత్యేక, స్థితిలేని విధానం, మరియు అవి ఇన్స్టాన్స్‌పై కాకుండా సబ్‌నెట్‌పై మూల్యాంకనం చేయబడతాయి.
తిరస్కరణ గోడతో సమాధానం ఇవ్వకండి
మీరు అలవాటు పడిన ఫైర్‌వాల్‌ను అనుకరించడానికి సబ్‌నెట్-వ్యాప్త NACL తిరస్కరణను జోడించడం తప్పు సాధనం మరియు ప్రమాదకరం. NACL ఎంట్రీలు క్రమబద్ధమైనవి మరియు స్థితిలేనివి, కాబట్టి ఇప్పటికే ఉన్న అనుమతి పైన ఉంచిన తిరస్కరణ సంబంధం లేని ట్రాఫిక్‌ను నిశ్శబ్దంగా విచ్ఛిన్నం చేస్తుంది, మీరు ఉంచుకోవడానికి ప్రయత్నించిన సెషన్‌ల తిరిగి వచ్చే మార్గంతో సహా. విస్తృత భద్రతా సమూహ అనుమతిని దానిని కలిగి ఉన్న సమూహంలోనే సరిచేయండి, ఆపై ACL నిజంగా డిజైన్‌లో భాగం కాకపోతే దానిని ఒంటరిగా వదిలేయండి.
ఇన్స్టాన్స్ నుండి పబ్లిక్ చిరునామాను తొలగించడం బలమైన హామీ, మరియు ఇది పరిపాలనా మరియు అప్లికేషన్ పరిణామాలతో కూడిన నిర్మాణ మార్పు కూడా, అనుమతి జాబితాపై ఒక చెక్‌బాక్స్ కాదు.
కొత్త సెషన్‌తో పరీక్షించండి మరియు లోపలికి వచ్చే మార్గాన్ని ఉంచుకోండి
ఏదైనా ఇప్పటికే ఉన్న అనుమతిని ఉపసంహరించే ముందు ఆమోదించబడిన స్వతంత్ర పరిపాలనా మార్గాన్ని నిర్ధారించండి, ఎందుకంటే మీరు తొలగించబోయే నియమం మీ సెషన్ పునరుద్ధరణ ఆధారపడినది కావచ్చు. ఆపై VPN నుండి కొత్త అనుమతించబడిన కనెక్షన్ మరియు ఆమోదించబడిన VPN-యేతర పరీక్ష మార్గం నుండి కొత్త తిరస్కరించబడిన కనెక్షన్‌ను పరీక్షించండి. ఇప్పటికే ఉన్న ట్రాక్ చేయబడిన సెషన్‌లు నియమ మార్పులను తట్టుకుంటాయి, పాత తెరిచిన షెల్‌లు ఆమోదపు సాక్ష్యంగా పనికిరావు.
చివరగా, అప్లికేషన్ స్వంత అధికారాన్ని దాని స్థానంలో ఉంచండి. అనువదించబడిన కార్పొరేట్ ఎగ్రెస్ వందలాది మందిని ప్రతినిధ్యం వహించగలదు, మరియు నెట్‌వర్క్ ప్రవేశం ఎప్పుడూ వ్యక్తిగత వినియోగదారుని లేదా అతని పరికరాన్ని గుర్తించలేదు.