VPN için bulut güvenlik grubu: dinleyiciyi açın, hepsini değil

VPN sunucusu çalışıyor, istemci zaman aşımına uğruyor ve ilk tepki güvenlik grubuna her şeye izin veren bir kural eklemek oluyor. Bu bazen çalışmasını sağlıyor ve bu en kötü sonuç, çünkü artık hangi sınırın gerçekten kapandığını kimse bilmiyor. İstemci ile daemon arasında dört ayrı filtre var ve bunlardan yalnızca biri güvenlik grubu.

Kuraldan önce protokolü adlandırın

Kural bir protokol, bir bağlantı noktası aralığı ve bir kaynaktır. WireGuard UDP üzerinde dinler, genellikle 51820. OpenVPN yapılandırmaya göre genellikle UDP veya TCP 1194'tür. IPsec, UDP 500 ve 4500 üzerinde IKE alışverişine ve bağlantı noktası değil protokol numarası olan ESP protokolüne ihtiyaç duyar. Diğer kurallar TCP olduğu için TCP olduğunu varsaymak, doğru görünen ve hiçbir şeyle eşleşmeyen bir kurala götürür.

Dinleyiciyi çalışan hizmetten okuyun, bir öğreticiden değil. Tek bir adrese bağlı bir daemon, başka bir adrese gelen trafiği kabul etmez.

Kaynağı tüm internet yerine tasarımın izin verdiği istemci aralığıyla sınırlayın.

Güvenlik grupları durum bilgisi tutar; alt ağ ACL'leri tutmaz

Güvenlik grupları durum bilgisi tutar ve yalnızca izin verir: izin verilen gelen akış yanıtlarını otomatik alır ve düşünülecek bir reddetme kuralı yoktur. Alt ağ ACL'leri durum bilgisi tutmaz ve iki yönde değerlendirilir, bu yüzden karşılık gelen giden geçici aralık olmadan gelen izin yine başarısız olur. Bu fark, konsolda doğru görünen birçok kuralı açıklar.

Çalışan uç noktaya hangi ilkenin bağlı olduğunu da doğrulayın, çünkü bir örnekte birden fazla grup olabilir ve bağlı olmayan gruptaki kural hiçbir şeyi değiştirmez.

Etkili ilke, bağlı olanların birleşimidir, düzenlediğiniz dosya değil.

Ana makine güvenlik duvarı ayrı bir sınırdır

Bulut ilkesi trafiği ağ arayüzüne kadar geçirir, sonra işletim sistemi daemonun onu görüp görmeyeceğine karar verir. Varsayılan reddetme ilkesine sahip bir ana makine güvenlik duvarı güvenlik grubunun izin verdiği paketi düşürür ve bulut konsolu hiçbir ret göstermez çünkü hiçbir zaman bir görüşü olmamıştır. İkisini de paketin onlarla karşılaştığı sırayla kontrol edin.

Ana makine dağıtımın güvenlik duvarı arayüzünü kullanıyorsa, profil adı yerine temel kuralları doğrulayın, çünkü profil etkinken bağlantı noktası kapalı olabilir.

Arayüzdeki bir yakalama, paketi hangi sınırın düşürdüğünü söyler.

Dinleyiciye izin vermek, istemcileri yönlendirmek değildir

İstemci trafiğini ileten bir VPN geçidi açık bir bağlantı noktasından fazlasına ihtiyaç duyar. IP iletimine, tünel arayüzünden hedef ağa akışa izin veren bir ilkeye ve çoğu zaman arayüzde kapatılmış kaynak-hedef denetimine ihtiyaç duyar; böylece platform kendisine adreslenmeyen trafiği atmaz. Bunların hiçbiri dinleyici kuralıyla oluşturulmaz.

Çalışan bir el sıkışma ile bozuk veri yolu burada ayrılır ve bu yüzden tünel durumu sağlıklı görünürken hiçbir şey yüklenmeyebilir.

Yönlendirmeyi kendi doğrulaması olan ayrı bir değişiklik olarak düzeltin ve ileten bir geçidin hedefe izin veren bir çıkış ilkesine de ihtiyacı olduğunu not edin.

Geri dönüş yolu bırakın, sonra kuralı daraltın

Uzak güvenlik duvarı ilkesini değiştirmeden önce, oturum yöneticisi, seri konsol veya bant dışı ağ gibi bağımsız bir yönetim yolu bulunduğunu doğrulayın. Tek yönetim yolu düzenlediğiniz kuraldan geçiyorsa kurtarmanız yok. Sonra dar kuralı uygulayın, gerçek bir istemciden test edin ve girişimi sunucu tarafındaki kanıtlarla ilişkilendirin. Aynı makinedeki başka bir hizmetin yanıtı, dinleyiciye ulaşıldığının kanıtı değildir.

Dar izin çalışır çalışmaz herhangi bir deneysel geniş izni kaldırın ve kuralın neden var olduğunu yazın. AWS güvenlik gruplarının durum bilgisi davranışını belgeler ve birisi kestirme olarak geniş bir aralık önerdiğinde atıf yapılacak belge odur.

Bağlamayı da belgeleyin, yoksa yedek bir arayüz ilkeyi sessizce kaybeder.