AWS Client VPN kuralları alt ağda değil, kaynakta olmalıdır

Personelin VPC'deki tek bir uygulamaya erişmesi ve aynı örnek üzerindeki veritabanı dinleyicisine erişmemesi gerekir, bu yüzden biri VPN uç noktası için ikinci bir genel alt ağ ekler ve gereksinimi karşılanmış ilan eder. Alt ağın konumu yönlendirmeyi ve kullanılabilirliği değiştirir. Tek bir bağlantı noktası vermez veya engellemez. Gereksinimi ifade eden izin hedefte, kaynağın güvenlik grubunda yaşar ve VPN sınırı, kuralın atıfta bulunduğu tutamağı sağlar.

Alt ağ konumu yönlendirmedir, yetkilendirme değil

Uç noktanın ağ ilişkilendirmesinin nerede olduğu, hangi yol tablosunun istemci trafiğini taşıdığını ve hangi kullanılabilirlik bölgelerinin bir arızayı atlattığını belirler. Trafiğin hangi örnekteki hangi bağlantı noktasına ulaşabileceği hakkında hiçbir şey söylemez. Aynı alt ağa ilişkilendirilmiş iki istemci yine aynı kaynak kimliğiyle gelir ve kaynak onları alt ağ adına göre ayıramaz.

Bunun yerine gereksinimden başlayın: kim çağırıyor, hangi kaynak, hangi hizmet bağlantı noktası ve hangi yön. Ardından bu dört şeyi hedefte ifade edebilen kural modelini seçin. Bu çerçeve genellikle fazladan alt ağı tasarımdan tamamen çıkarır.

Client VPN ilişkilendirme grubu o tutamaktır

Bir alt ağa ilişkilendirilmiş AWS Client VPN uç noktası için belgelenen düzen somuttur. Amaçlanan güvenlik grubunu uç noktanın hedef ağ ilişkilendirmelerine uygulayın, ardından o Client VPN grubunu kaynak olarak kullanarak kaynağın güvenlik grubunda gerekli trafiğe izin verin.

Somut olarak, uygulama örneğinin grubu uygulama bağlantı noktasına ilişkilendirme grubundan izin verir, başka bir şeye değil. AWS'nin kaynağa erişim yordamı bu ilişkiyi açıklar ve uç noktanın ilişkilendiği her alt ağda aynı grup ilkesini korumakta yarar var, çünkü farklı bir grupla eski bir ilişkilendirme sınırı sessizce genişletir.

Bu kural kimseyi kimlik doğrulamaz. Oturum açma ayrı bir kontroldür ve kaynağa giden yol üçüncüsüdür. Bir istek gelmeden önce üçü de geçerli olmalıdır. Hangisi başarısız olursa doğru düzeltmenin hangisi olduğunu o belirler ve kural değişikliği yalnızca ilki için doğru yanıttır.

Bir ilişkilendirme grubunun ayırt edemediği şey

Aynı ilişkilendirme grubunun arkasındaki her istemci kaynağa aynı güvenlik grubu kaynağı olarak ulaşır. Farklı rollere sahip iki kullanıcı o katmanda ayırt edilemez, grup nasıl adlandırılırsa veya etiketlenirse etiketlensin. Client VPN'nin harici grup yetkilendirmesi, bir dizin veya SAML grubu için hedef önekiyle erişimi sınırlar; bu, kaynak rolünden daha kabadır ve kimlik sistemi değil, ağ sınırı olarak ele alınmalıdır.

Daha ince ayrımlar uygulamaya aittir. Personelin çoğuna kapalı kalması gereken bir veritabanı dinleyicisi, grup üyeliğinin düzenli kalmasını ummak yerine izin verilen önekte hiç erişilebilir olmayarak daha iyi korunur.

Grubu yeniden adlandırmak bir kimlik yaratmaz ve takım başına çoğaltmak yalnızca denetlenmesi gereken ilişkilendirmeleri çoğaltır.

Bu kuralı her VPN tasarımına kopyalamayın

Kendi yönettiğiniz bir EC2 VPN ağ geçidi, yönlendirilmiş bir denetim cihazı ve yönetilen Client VPN üç farklı paket yoludur. Kaynağa gerçekte hangi kaynak adresinin ulaştığını, arada çeviri olup olmadığını ve hizmetin bu yolda hangi referans mekanizmalarını desteklediğini belirleyin.

Trafiği bir ara cihazdan geçirmek, doğrudan örnekten örneğe trafik gibi bir kaynak güvenlik grubu referansını korumaz. AWS, bu tür tasarımların grup referansı yerine uygun özel kaynak adreslerine veya CIDR'lere ihtiyaç duyabileceğini belgeler. Yönetilen Client VPN yordamı, her ağ geçidinin bağlı grubunun iletilen paketler için evrensel bir kimlik belirteci olarak çalıştığının kanıtı değildir.

Yolda tek bir NAT atlaması varsayımı kırmaya yeter ve arıza, var olan ama hiçbir zaman eşleşmeyen bir kural gibi görünür.

Etkin sınırı gözden geçirin

Kaynağa bağlı her güvenlik grubunu okuyun, çünkü izin kuralları birleşir ve dar bir kural başka bir gruptaki daha geniş bir kuralı iptal etmez. Ardından ağ ACL'sini, ana bilgisayar güvenlik duvarını ve uygulamanın kendi yetkilendirmesini kontrol edin; bunlar ayrı hatalara sahip ayrı katmanlardır.

Aynı kaynağa karşı bir izin verilen ve bir kasıtlı olarak dışlanan istekle bitirin. Bu çift sınırı kanıtlar, oysa tek bir başarılı bağlantı yalnızca bir şeyin açık olduğunu kanıtlar. Uç noktayı içeren alt ağı değil, yolu, etkin kaynağı ve amaçlanan hizmet bağlantı noktasını doğrulayın.

İş sırası: dört bölümlü gereksinimi yazın, grubu ilişkilendirmelere bağlayın, kaynak kuralını bağlantı noktasıyla sınırlayın, bir izin ve bir ret doğrulayın ve ancak ondan sonra alt ağları yönlendirme nedenleriyle bölmeyi düşünün.