Cloud security group para sa VPN: buksan ang listener, hindi lahat

Tumatakbo ang VPN server, nag-timeout ang client, at ang unang reaksyon ay magdagdag ng panuntunang nagpapahintulot sa lahat sa security group. Minsan gumagana ito, at iyon ang pinakamasamang resulta, dahil wala nang nakakaalam kung aling hangganan ang tunay na isinara. May apat na hiwalay na filter sa pagitan ng client at daemon, at isa lamang sa mga ito ang security group.

Pangalanan ang protocol bago ang panuntunan

Ang panuntunan ay protocol, hanay ng port at pinagmulan. Nakikinig ang WireGuard sa UDP, karaniwang 51820. OpenVPN ay karaniwang UDP o TCP 1194 depende sa configuration. Kailangan ng IPsec ang IKE exchange sa UDP 500 at 4500 at ang ESP protocol mismo, na numero ng protocol at hindi port. Ang paghula ng TCP dahil TCP ang ibang panuntunan ang paraan para makakuha ng panuntunang mukhang tama at hindi tumutugma sa anuman.

Basahin ang listener mula sa tumatakbong serbisyo, hindi mula sa tutorial. Ang daemon na nakatali sa isang address ay hindi tatanggap ng trapik na dumarating sa iba.

Limitahan ang pinagmulan sa hanay ng client na pinapayagan ng disenyo, hindi sa buong internet.

May state ang mga security group; wala ang subnet ACL

May state ang mga security group at nagpapahintulot lamang: ang pinapayagang papasok na daloy ay awtomatikong nakakakuha ng mga sagot, at walang tuntunin ng pagtanggi na dapat isipin. Walang state ang subnet ACL at sinusuri sa dalawang direksyon, kaya ang papasok na pahintulot na walang katumbas na palabas na ephemeral na hanay ay nabigo pa rin. Ipinapaliwanag ng pagkakaibang iyon ang maraming panuntunang mukhang tama sa console.

Tiyakin din kung aling patakaran ang nakakabit sa tumatakbong endpoint, dahil ang isang instance ay maaaring may higit sa isang grupo at ang panuntunan sa grupong hindi nakakabit ay walang binabago.

Ang epektibong patakaran ay ang pagsasanib ng nakakabit, hindi ang file na in-edit mo.

Ang firewall ng host ay hiwalay na hangganan

Pinapayagan ng patakaran ng cloud ang trapik hanggang sa network interface, at pagkatapos ay nagpapasya ang operating system kung makikita ito ng daemon. Firewall ng host na may default na patakarang pagtanggi ay ibabagsak ang packet na pinayagan ng security group, at hindi magpapakita ng pagtanggi ang cloud console dahil wala itong opinyon kailanman. Suriin ang dalawa, sa pagkakasunod-sunod na nakikita ng packet.

Kung gumagamit ang host ng frontend ng firewall ng distribusyon, tiyakin ang mga batayang panuntunan at hindi ang pangalan ng profile, dahil ang profile ay maaaring aktibo habang sarado ang port.

Ang pag-capture sa interface ay nagsasabi kung aling hangganan ang nagbagsak ng packet.

Ang pagpayag sa listener ay hindi pag-route sa mga client

Ang gateway ng VPN na nagpapasa ng trapik ng client ay nangangailangan ng higit sa bukas na port. Kailangan nito ng IP forwarding, patakarang nagpapahintulot sa daloy mula sa tunnel interface patungo sa destinasyong network, at kadalasan ay naka-off na pagsusuri ng pinagmulan at destinasyon sa interface upang hindi itapon ng platform ang trapik na hindi para dito. Wala sa mga ito ang nilikha ng panuntunan ng listener.

Dito naghihiwalay ang gumaganang handshake at ang sirang landas ng data, at kaya ang estado ng tunnel ay maaaring mukhang maayos habang walang naglo-load.

Ayusin ang routing bilang hiwalay na pagbabago na may sariling beripikasyon, at tandaan na ang gateway na nagpapasa ay nangangailangan din ng patakaran sa labasan na nagpapahintulot sa destinasyon.

Mag-iwan ng daan pabalik, pagkatapos ay paliitin ang panuntunan

Bago baguhin ang patakaran ng remote firewall, tiyakin na may independiyenteng landas ng pamamahala, tulad ng session manager, serial console o out-of-band network. Kung ang tanging landas ng pamamahala ay dumadaan sa panuntunang ine-edit mo, wala kang pagbawi. Pagkatapos ay ilapat ang makitid na panuntunan, subukan mula sa tunay na client, at iugnay ang pagtatangka sa ebidensya sa panig ng server. Ang sagot mula sa ibang serbisyo sa parehong makina ay hindi patunay na naabot ang listener.

Alisin ang anumang eksperimental na malawak na pahintulot sa sandaling gumana ang makitid, at itala kung bakit may panuntunan. Idinodokumento ng AWS ang pag-uugaling may state ng mga security group, at iyon ang dokumentong dapat banggitin kapag may nagmungkahi ng malawak na hanay bilang shortcut.

Idokumento rin ang pagkakabit, kung hindi ay tahimik na mawawala ng kapalit na interface ang patakaran.