Panuntunan ng EC2 para sa VPN lamang: bawat nakakabit na security group ay dapat sumang-ayon

Naglalagay ka ng isang inbound na panuntunan para sa pool ng kliyenteng VPN, wala kang tinatanggal, at naaabot pa rin ang serbisyo mula sa internet. Wala pang nasira. Walang override, priyoridad o huling pagtanggi ang isang security group na maaaring talunin ng makitid na panuntunan. Bawat grupong nakakabit sa instance ay nag-aambag ng sarili nitong pahintulot sa isang pinagsamang set, at ang malawak na panuntunang nakalimutan mo ay nasa set pa rin. Ang gawing VPN lamang ang instance ay nangangahulugang i-audit ang lahat, hindi ang magdagdag ng mas magandang pakinggan na panuntunan sa isa.

Isulat ang serbisyo bago isulat ang panuntunan

Magsimula sa eksaktong destinasyon, protocol at port, at sa network interface kung saan talagang nakikinig ang serbisyo. Ang instance na may maraming interface o maraming serbisyo sa isang port ay nangangailangan ng audit sa bawat interface, dahil maaaring magkaiba ang mga nakakabit na grupo. Pagkatapos ay tukuyin kung aling source address ang talagang natatanggap ng interface na iyon para sa isang user ng VPN, hindi ang address na ipinapakita ng kliyente sa sarili nitong window ng koneksyon.

Ang dalawang address na ito ay mas madalas mag-iba kaysa inaasahan ng mga tao kapag may pagsasalin at routing na kasangkot.

Tatlong modelo ng pinagmulan, tatlong magkaibang panuntunan

Sa pribadong naka-route na access, natatanggap ng instance ang pool ng kliyente o ang corporate range, depende sa kung paano ini-route at isinasalin ang landas. Sa pampublikong endpoint na naaabot sa pamamagitan ng corporate egress, nakikita ng instance ang corporate NAT address sa halip, at kung talagang ginagamit ng destinasyong iyon ang landas ng VPN, dahil maaaring maiwan ito ng split tunnelling sa isang koneksyon sa bahay. Sa pinamamahalaang Client VPN endpoint, nalalapat ang dokumentadong modelo ng asosasyon at target network, at ang address ng kliyente ay nagmumula sa naka-configure na CIDR ng kliyente.

Ang hindi gumagana ay ang pagtukoy sa isang gateway ng VPN bilang pinagmulan ng security group. Ang mga reference ng grupo ay tumutugma sa mga elastic network interface sa loob ng VPC o ng isang peer na network, at ang gateway na nagpapasa ng mga packet ay hindi isa sa kanila.

Basahin ang unyon sa bawat nakakabit na grupo

Buksan ang instance, hanapin ang network interface nito, at ilista ang bawat security group na nakakabit dito. Para sa bawat isa, suriin ang bawat panuntunang sumasaklaw sa iyong protocol at port, kasama ang malalawak na saklaw ng port at parehong pamilya ng address. Ang panuntunang IPv4 mula sa 0.0.0.0/0 ay hindi ka nagpapaliban sa pagsuri ng ::/0, at ang panuntunang nagpapahintulot sa lahat ng trapiko ay ganap na nagtatago ng tanong sa port. Pagkatapos lamang ng imbentaryong iyon masasabi mo kung ano ang epektibong pahintulot para sa serbisyo.

Inilalarawan ng reference ng mga panuntunan ng AWS ang mga security group bilang nagpapahintulot lamang at sinasabi na ang mga panuntunan mula sa lahat ng nakakabit na grupo ay pinagsasama, at iyon ang buong mekanismo sa likod ng kabiguan na ito.

Ang mga ACL ng network ay isang hiwalay at walang estado na patakaran na may nakaayos na mga entry ng pagpapahintulot at pagtanggi, at sinusuri ang mga ito sa subnet at hindi sa instance.

Huwag sumagot ng pader ng pagtanggi

Ang pagdaragdag ng NACL na pagtanggi sa buong subnet upang tularan ang isang firewall na kinasanayan mo ay maling kasangkapan at mapanganib. Ang mga entry ng NACL ay nakaayos at walang estado, kaya ang isang pagtangging inilagay sa itaas ng umiiral na pagpapahintulot ay tahimik na sumisira ng walang kaugnayang trapiko, kasama ang daan pabalik para sa mga session na sinusubukan mong panatilihin. Ayusin ang malawak na pagpapahintulot ng security group sa grupong nagmamay-ari nito, pagkatapos ay iwanan ang ACL maliban kung talagang bahagi ito ng disenyo.

Ang pag-alis ng pampublikong address mula sa instance ay isang mas matibay na garantiya, at ito rin ay isang pagbabago sa arkitektura na may mga kahihinatnan sa administrasyon at aplikasyon, hindi isang checkbox sa isang listahan ng pahintulot.

Subukan gamit ang bagong session at panatilihin ang paraan ng pagpasok

Bago alisin ang anumang umiiral na pahintulot, kumpirmahin ang isang aprubadong malayang landas ng administrasyon, dahil ang panuntunang malapit mo nang tanggalin ay maaaring ang pinagbabatayan ng pagbawi ng iyong session. Pagkatapos ay subukan ang isang bagong pinapayagang koneksyon mula sa VPN at isang bagong tinanggihang koneksyon mula sa isang awtorisadong landas ng pagsubok na hindi VPN. Ang mga umiiral na sinusubaybayang session ay nakakalampas sa mga pagbabago ng panuntunan sa mga paraang ginagawang walang silbi ang mga lumang bukas na shell bilang ebidensya ng pagtanggap.

Sa huli, panatilihin ang sariling awtorisasyon ng aplikasyon. Ang isinaling corporate egress ay maaaring kumatawan sa daan-daang tao, at kailanman ay hindi natukoy ng pagpasok sa network ang isang indibidwal na user o ang kanyang aparato.