Redes, puntos de acceso privado y exposición

Las reglas de un grupo de seguridad llevan un número de prioridad entre 100 y 4096, y se evalúan de menor a mayor: gana el número más bajo y, en cuanto una regla coincide, la evaluación termina ahí. Lo que venga después con los mismos atributos no se mira nunca. Por debajo de todo quedan las reglas que el proveedor pone en cada grupo y no se pueden borrar: permitir dentro de la propia red virtual, permitir desde su balanceador y denegar todo lo demás.

De ahí sale un error de configuración muy común y muy invisible: alguien escribe la regla de denegación correcta, pero con un número más alto que la regla que permite lo mismo, y da el asunto por cerrado. El cliente tiene la regla, la enseña en las auditorías y no hace nada.

Un grupo de seguridad compartido por tres subredes multiplica el efecto de cada regla: lo que se abre para una queda abierto para las tres. Entre las reglas de entrada hay una que deja el acceso de administración disponible desde internet, y es la que explica por qué la frase del diagrama sobre el salto no se sostiene.

Abre el laboratorio y lee reglas-de-entrada.txt.

Para explicarle al cliente por qué su regla de denegación no sirve de nada hay que decirle exactamente cuántas reglas propias se miran antes de la que permite el acceso de administración. Es una cifra pequeña y es la que convierte la discusión en algo concreto: la denegación está por debajo y no participa.

Un punto de acceso privado le da al servicio una dirección dentro de la red virtual y hace que su nombre resuelva ahí para quien está dentro. Es un buen control y resuelve la mitad del problema. La otra mitad la deja intacta: el extremo público sigue respondiendo a quien lo llame desde fuera, con las mismas credenciales de siempre, hasta que se configura el cortafuegos de la cuenta para negar el acceso público.

El cliente escribió en el ticket de la migración que con el punto privado los respaldos «ya salen de internet». El evaluador no discute el ticket: comprueba las dos columnas que lo desmienten.

Los dos hallazgos de esta sala se corrigen en sitios distintos y conviene no mezclarlos. El del puerto de administración se arregla en la red: cerrar el origen de la regla y dejar que la administración entre solo por el salto, con la denegación por encima y no por debajo. El de los respaldos no se arregla en la red: se arregla en la cuenta de almacenamiento, poniendo su acceso público en deshabilitado y la regla por defecto en denegar, que es lo que hace que el punto privado sea el único camino.