VPN uchun bulut xavfsizlik guruhi: tinglovchini oching, hammasini emas

VPN serveri ishlayapti, mijoz vaqti tugayapti va birinchi javob xavfsizlik guruhiga hamma narsaga ruxsat beruvchi qoida qo'shishdir. Bu ba'zan ishlashiga olib keladi va bu eng yomon natija, chunki endi qaysi chegara haqiqatan yopilganini hech kim bilmaydi. Mijoz va daemon o'rtasida to'rtta alohida filtr bor va ulardan faqat bittasi xavfsizlik guruhi.

Qoidadan oldin protokolni nomlang

Qoida — protokol, portlar oralig'i va manba. WireGuard UDP'da tinglaydi, odatda 51820. OpenVPN sozlamaga qarab odatda UDP yoki TCP 1194 bo'ladi. IPsec UDP 500 va 4500'da IKE almashinuvi hamda ESP protokolining o'zini talab qiladi, bu port emas, protokol raqami. Boshqa qoidalar TCP bo'lgani uchun TCP deb taxmin qilish to'g'ri ko'rinadigan va hech narsaga mos kelmaydigan qoidaga olib keladi.

Tinglovchini ishlab turgan xizmatdan o'qing, qo'llanmadan emas. Bitta manzilga bog'langan daemon boshqa manzilga keladigan trafikni qabul qilmaydi.

Manbani butun internet o'rniga loyiha ruxsat bergan mijozlar oralig'i bilan cheklang.

Xavfsizlik guruhlari holatni saqlaydi; quyi tarmoq ACL saqlamaydi

Xavfsizlik guruhlari holatni saqlaydi va faqat ruxsat beradi: ruxsat berilgan kiruvchi oqim javoblarini avtomatik oladi va o'ylash kerak bo'lgan rad etish qoidasi yo'q. Quyi tarmoq ACL holatni saqlamaydi va ikki yo'nalishda baholanadi, shuning uchun mos chiquvchi vaqtinchalik oraliqsiz kiruvchi ruxsat baribir muvaffaqiyatsiz bo'ladi. Shu farq konsolda to'g'ri ko'rinadigan ko'p qoidalarni tushuntiradi.

Ishlab turgan oxirgi nuqtaga qaysi siyosat bog'langanini ham tasdiqlang, chunki nusxada bir nechta guruh bo'lishi mumkin va bog'lanmagan guruhdagi qoida hech narsani o'zgartirmaydi.

Samarali siyosat — bog'langanlarning birlashmasi, siz tahrirlagan fayl emas.

Xost xavfsizlik devori alohida chegara

Bulut siyosati trafikni tarmoq interfeysigacha o'tkazadi, so'ng operatsion tizim daemon uni ko'rishini hal qiladi. Standart rad etish siyosatiga ega xost xavfsizlik devori xavfsizlik guruhi ruxsat bergan paketni tashlab yuboradi va bulut konsoli hech qanday rad etishni ko'rsatmaydi, chunki uning hech qachon fikri bo'lmagan. Ikkalasini ham paket ularga duch keladigan tartibda tekshiring.

Agar xost distributivning xavfsizlik devori old qismidan foydalansa, profil nomini emas, asosiy qoidalarni tasdiqlang, chunki profil faol bo'lishi mumkin, port esa yopiq.

Interfeysdagi ushlash qaysi chegara paketni tashlaganini aytadi.

Tinglovchiga ruxsat berish mijozlarni yo'naltirish emas

Mijoz trafigini uzatuvchi VPN shlyuziga ochiq portdan ko'proq narsa kerak. Unga IP uzatish, tunnel interfeysidan manzil tarmog'iga oqimga ruxsat beruvchi siyosat va ko'pincha interfeysda o'chirilgan manba-manzil tekshiruvi kerak, platforma o'ziga qaratilmagan trafikni tashlamasligi uchun. Bularning hech birini tinglovchi qoidasi yaratmaydi.

Aynan shu yerda ishlaydigan qo'l berish va buzilgan ma'lumot yo'li ajraladi, shuning uchun tunnel holati sog'lom ko'rinishi mumkin, holbuki hech narsa yuklanmaydi.

Yo'naltirishni o'z tekshiruvi bilan alohida o'zgarish sifatida tuzating va uzatuvchi shlyuzga manzilga ruxsat beruvchi chiqish siyosati ham kerakligini qayd eting.

Qaytish yo'lini qoldiring, keyin qoidani toraytiring

Masofaviy xavfsizlik devori siyosatini o'zgartirishdan oldin mustaqil boshqaruv yo'li borligini tasdiqlang, masalan sessiya menejeri, ketma-ket konsol yoki tasma tashqarisidagi tarmoq. Agar yagona boshqaruv yo'li siz tahrirlayotgan qoidadan o'tsa, tiklanish yo'lingiz yo'q. Keyin tor qoidani qo'llang, haqiqiy mijozdan sinab ko'ring va urinishni server tomonidagi dalillar bilan bog'lang. Xuddi shu mashinadagi boshqa xizmatning javobi tinglovchiga yetilganining dalili emas.

Tor ruxsat ishlashi bilan har qanday eksperimental keng ruxsatni olib tashlang va qoida nima uchun borligini yozib qo'ying. AWS xavfsizlik guruhlarining holat saqlovchi xatti-harakatini hujjatlashtiradi va kimdir qisqa yo'l sifatida keng oraliq taklif qilganda aynan shu hujjatga havola qilish kerak.

Bog'lanishni ham hujjatlashtiring, aks holda almashtiruvchi interfeys siyosatni jimgina yo'qotadi.