EC2 uchun faqat VPN qoidasi: har bir ulangan xavfsizlik guruhi rozi boʻlishi kerak

Siz VPN mijozlar puli uchun bitta kiruvchi qoida qoʻshasiz, hech narsani olib tashlamaysiz va xizmat hanuz internetdan ochiq. Hech narsa buzilmagan. Xavfsizlik guruhida tor qoida yengishi mumkin boʻlgan bekor qilish, ustuvorlik yoki yakuniy rad etish yoʻq. Instansga ulangan har bir guruh oʻz ruxsatlarini bitta birlashtirilgan toʻplamga qoʻshadi va siz unutgan keng qoida hanuz shu toʻplamda. Instansni faqat-VPN qilish ularning barchasini tekshirishni anglatadi, biriga yaxshiroq eshitiladigan qoida qoʻshishni emas.

Qoidani yozishdan oldin xizmatni yozib qoʻying

Aniq manzil, protokol va portdan, shuningdek xizmat haqiqatda tinglaydigan tarmoq interfeysidan boshlang. Bir nechta interfeysi yoki bitta portda bir nechta xizmati boʻlgan instans har bir interfeys uchun tekshiruvni talab qiladi, chunki ulangan guruhlar farq qilishi mumkin. Soʻngra aniqlang oʻsha interfeys VPN foydalanuvchisi uchun haqiqatda qaysi manba manzilini oladi, mijoz oʻz ulanish oynasida koʻrsatadigan manzilni emas.

Tarjima va marshrutlash ishga tushgach, bu ikki manzil odamlar kutganidan tez-tez ajralib ketadi.

Uch manba modeli, uch xil qoida

Xususiy marshrutlangan kirishda instans mijozlar pulini yoki korporativ diapazonni oladi, bu yoʻl qanday marshrutlanishi va tarjima qilinishiga bogʻliq. Korporativ chiqish orqali erishiladigan ommaviy endpointda instans buning oʻrniga korporativ NAT manzilini koʻradi va faqat shu manzil haqiqatda VPN yoʻlidan foydalansa, chunki boʻlingan tunellash uni uy ulanishida qoldirishi mumkin. Boshqariladigan Client VPN endpointida hujjatlashtirilgan bogʻlanish va maqsadli tarmoq modeli amal qiladi, mijoz manzili esa sozlangan mijoz CIDR dan olinadi.

Ishlamaydigan narsa VPN shlyuzini xavfsizlik guruhi manbasi sifatida koʻrsatishdir. Guruh havolalari VPC yoki tenglashtirilgan tarmoq ichidagi elastik tarmoq interfeyslariga mos keladi va paketlarni uzatuvchi shlyuz ulardan biri emas.

Har bir ulangan guruh boʻyicha birlashmani oʻqing

Instansni oching, uning tarmoq interfeysini toping va unga ulangan har bir xavfsizlik guruhini sanab chiqing. Har biri uchun protokolingiz va portingizni qamrab oluvchi har bir qoidani tekshiring, keng port diapazonlari va ikkala manzil oilasini ham qoʻshib. 0.0.0.0/0 dan kelgan IPv4 qoidasi sizni ::/0 ni tekshirishdan ozod qilmaydi va barcha trafikka ruxsat beruvchi qoida port masalasini butunlay yashiradi. Faqat shu inventarizatsiyadan keyin xizmat uchun amaldagi ruxsat nima ekanini ayta olasiz.

AWS qoidalar maʼlumotnomasi xavfsizlik guruhlarini faqat-ruxsat beruvchi deb taʼriflaydi va barcha ulangan guruhlarning qoidalari jamlanadi deb aytadi, va bu muvaffaqiyatsizlik ortidagi butun mexanizm shu.

Tarmoq ACLlari tartiblangan ruxsat va rad yozuvlariga ega alohida, holatsiz siyosatdir va ular instansda emas, subnetda baholanadi.

Rad devori bilan javob bermang

Oʻrganib qolgan firewolni taqlid qilish uchun butun subnet boʻyicha NACL radini qoʻshish notoʻgʻri vosita va xavflidir. NACL yozuvlari tartiblangan va holatsiz, shuning uchun mavjud ruxsat ustiga qoʻyilgan rad jimgina aloqasiz trafikni buzadi, jumladan siz saqlab qolmoqchi boʻlgan sessiyalarning qaytish yoʻlini ham. Keng xavfsizlik guruhi ruxsatini unga egalik qiluvchi guruhda tuzating, soʻngra ACL haqiqatan dizaynning qismi boʻlmasa, uni tinch qoʻying.

Instansdan ommaviy manzilni olib tashlash kuchliroq kafolatdir va u maʼmuriy hamda amaliy oqibatlarga ega arxitektura oʻzgarishi hamdir, ruxsatlar roʻyxatidagi katakcha emas.

Yangi sessiya bilan sinab koʻring va kirish yoʻlini saqlang

Har qanday mavjud ruxsatdan voz kechishdan oldin tasdiqlangan mustaqil maʼmuriy yoʻlni tasdiqlang, chunki siz oʻchirmoqchi boʻlgan qoida sessiyangizni tiklash bogʻliq boʻlgan qoida boʻlishi mumkin. Soʻngra VPN dan yangi ruxsat berilgan ulanishni va ruxsat etilgan VPN boʻlmagan sinov yoʻlidan yangi rad etilgan ulanishni sinang. Mavjud kuzatilayotgan sessiyalar qoida oʻzgarishlarini shunday oʻtkazadiki, eski ochiq qobiqlar qabul dalili sifatida yaroqsiz boʻlib qoladi.

Nihoyat, ilovaning oʻz avtorizatsiyasini joyida saqlang. Tarjima qilingan korporativ chiqish yuzlab odamlarni ifodalashi mumkin va tarmoqqa kirish hech qachon alohida foydalanuvchini yoki uning qurilmasini aniqlamagan.