GCP - VPC & Networking

Tip

Leer en oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer en oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Leer en oefen Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Ondersteun HackTricks

GCP Compute Networking in a Nutshell

VPCs bevat Firewall reƫls om inkomende verkeer na die VPC toe te laat. VPCs bevat ook subnetwerke waar virtuele masjiene gaan wees verbinde.
In vergelyking met AWS, sou Firewall die nabyste ding wees aan AWS Security Groups en NACLs, maar in hierdie geval is dit gedefinieer in die VPC en nie in elke instansie nie.

VPC, Subnetwerke & Firewalls in GCP

Compute Instances is verbind met subnetwerke wat deel is van VPCs (Virtual Private Clouds). In GCP is daar nie sekuriteitsgroepe nie, daar is VPC firewalls met reƫls wat op hierdie netwerkvlak gedefinieer is maar toegepas op elke VM Instansie.

Subnetwerke

ā€™n VPC kan verskeie subnetwerke hĆŖ. Elke subnetwork is in 1 streek.

Firewalls

Standaard het elke netwerk twee implisiete firewall reƫls: toelaat uitgaande en weier inkomende.

Wanneer ā€™n GCP-projek geskep word, word ā€™n VPC genaamd default ook geskep, met die volgende firewall reĆ«ls:

  • default-allow-internal: laat alle verkeer van ander instansies op die default netwerk toe
  • default-allow-ssh: laat 22 van oral toe
  • default-allow-rdp: laat 3389 van oral toe
  • default-allow-icmp: laat ping van oral toe

Warning

Soos jy kan sien, neig firewall reƫls om meer toelaatbaar te wees vir interne IP adresse. Die standaard VPC laat alle verkeer tussen Compute Instances toe.

Meer Firewall reƫls kan geskep word vir die standaard VPC of vir nuwe VPCs. Firewall reƫls kan op instansies toegepas word via die volgende metodes:

Ongelukkig is daar nie ā€™n eenvoudige gcloud opdrag om al die Compute Instances met oop poorte op die internet uit te spit nie. Jy moet die punte tussen firewall reĆ«ls, netwerk etikette, diensrekeninge, en instansies verbind.

Hierdie proses is geoutomatiseer met behulp van hierdie python skrip wat die volgende sal uitvoer:

  • CSV-lĆŖer wat instansie, publieke IP, toegelate TCP, toegelate UDP toon
  • nmap skandering om al die instansies op poorte in te teiken wat van die publieke internet toegelaat word (0.0.0.0/0)
  • masscan om die volle TCP-reeks van daardie instansies te teiken wat ALLE TCP-poorte van die publieke internet toelaat (0.0.0.0/0)

Hierargiese Firewall Beleide

Hierargiese firewall beleide laat jou toe om ā€™n konsekwente firewall beleid oor jou organisasie te skep en af te dwing. Jy kan hierargiese firewall beleide aan die organisasie as ā€™n geheel of aan individuele mappes toewys. Hierdie beleide bevat reĆ«ls wat eksplisiet verbindings kan weier of toelaat.

Jy skep en pas firewall beleide toe as aparte stappe. Jy kan firewall beleide skep en toepas op die organisasie of map knooppunte van die hulpbron hiĆ«rargie. ā€™n Firewall beleid reĆ«l kan verbinding blokkeer, verbinding toelaat, of firewall reĆ«l evaluering uitstel na laer vlak mappes of VPC firewall reĆ«ls wat in VPC-netwerke gedefinieer is.

Standaard geld alle hierargiese firewall beleid reĆ«ls vir alle VMā€™s in alle projekte onder die organisasie of map waar die beleid geassosieer is. Jy kan egter beperk watter VMā€™s ā€™n gegewe reĆ«l kry deur teiken netwerke of teiken diensrekeninge spesifiseer.

Jy kan hier lees hoe om ā€™n Hierargiese Firewall Beleid te skep.

Firewall Reƫls Evaluering

  1. Org: Firewall beleide toegewy aan die Organisasie
  2. Map: Firewall beleide toegewy aan die Map
  3. VPC: Firewall reƫls toegewy aan die VPC
  4. Globaal: ā€™n Ander tipe firewall reĆ«ls wat aan VPCs toegewy kan word
  5. Streek: Firewall reƫls geassosieer met die VPC netwerk van die VM se NIC en streek van die VM.

VPC Netwerk Peering

Laat toe om twee Virtuele Privaat Wolk (VPC) netwerke te verbind sodat hulpbronne in elke netwerk met mekaar kan kommunikeer.
Gepaarde VPC-netwerke kan in dieselfde projek wees, verskillende projekte van dieselfde organisasie, of verskillende projekte van verskillende organisasies.

Hierdie is die nodige toestemmings:

  • compute.networks.addPeering
  • compute.networks.updatePeering
  • compute.networks.removePeering
  • compute.networks.listPeeringRoutes

Meer in die dokumentasie.

References

Tip

Leer en oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer en oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Leer en oefen Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Ondersteun HackTricks