ALB mewnol ag enw DNS cyhoeddus: a yw wir yn agored?

Rhedwch ymchwiliad DNS cyhoeddus yn erbyn llwyth-geidwad mewnol ac efallai y cewch gyfeiriad preifat yn ôl, sy'n edrych fel camffurfweddiad nes i chi wirio at beth y mae'r cofnod. Mae AWS yn dogfennu y gall enwau llwyth-geidwad mewnol fod yn ddatryswy yn gyhoeddus tra bod eu nodau yn dal cyfeiriadau preifat yn unig. Atebodd y datryswr ble mae'r gwasanaeth; ni chrëodd lwybr, ni agorodd grŵp diogelwch ac ni ddilysodd neb. A yw'r ateb hwnnw'n broblem sy'n dibynnu ar ffeithiau y gallwch eu gwirio yn eu trefn.

Cam un: darllenwch y cynllun, nid yr IP

Maes y cynllun yw datganiad y llwyth-geidwad ei hun am ei ffin. Mae aws elbv2 describe-load-balancers --names app-internal yn dychwelyd Scheme o naill ai internal neu internet-facing, ynghyd â math o gyfeiriad ar gyfer IPv4 neu stac deuol. Gall llwyth-geidwad sy'n wynebu'r rhyngrwyd fod yn anfon ymlaen at dargedau preifat o hyd, felly nid yw gweld cyfeiriadau cefn preifat yn profi dim am y blaen.

Nodwch y cynllun cyn edrych ar unrhyw beth arall, oherwydd mae pob barn ddiweddarach yn dibynnu arno. Mae hefyd yn dweud pa reolaethau sy'n bodoli, o grwpiau diogelwch a rheolau gwrandäwr i set nodweddion y math hwnnw o lwyth-geidwad. Mae cynllun a gopïwyd o sgrin consol hen yn waeth na dim nodyn. Ailddarllenwch ef o'r API a gludwch y gwerth i'r tocyn.

Cam dau: gwelwch at beth mae'r enw'n datrys

Holwch o du allan i'r VPC gyda dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com a nodwch a yw'r atebion yn 10.0.0.0/8, 172.16.0.0/12 neu 192.168.0.0/16. Ateb preifat o ddatryswr cyhoeddus yw'r ymddygiad disgwyliedig ar gyfer enw llwyth-geidwad mewnol; nid yw'n brawf bod y cyfeiriad yn llwybradwy o'r rhyngrwyd.

Datryswch yr un enw o du mewn i'r VPC a chymharu. Os yw'r ddau ateb yn wahanol, rydych yn edrych ar enwi gorwel hollt, ac mae'r gwahaniaeth hwnnw'n fanylion dylunio, nid yn ollyngiad.

Cam tri: rhestru'r llwybrau a all gyrraedd y gwasanaeth

Mae cyfeiriad preifat yn gyrraeddadwy o unrhyw le y mae llwybr a rheol diogelwch. Rhestrwch y rhain yn fwriadol: VPN safle-i-safle, VPN cleient, cymheirio VPC, atodiadau transit gateway, Direct Connect, ac unrhyw ddirprwy neu fastiwn y tu mewn i'r VPC. Un ohonynt yw'r llwybr bwriadedig, a'r lleill yw'r rhai y byddai ymosodwr yn chwilio amdanynt.

Yna gwiriwch y rheolaethau ar bob llwybr: grwpiau diogelwch ar y llwyth-geidwad, ACLau rhwydwaith ar yr is-rwydweithiau, a'r llwybrau sy'n gwneud i'r llwybr fodoli o gwbl. Mae'r rhan fwyaf o achosion gwasanaeth mewnol agored a adroddwyd yn cael eu datrys yma, naill ai oherwydd bod cymheirio anfwriadedig yn bodoli neu oherwydd bod y llwybr yn fwriadedig a'r cymhwysiad heb ddilysu.

Cam pedwar: profwch y gwrandäwr a'r cymhwysiad ar wahân

Ceisiwch gysylltu o rwydwaith na ddylai gyrraedd y gwasanaeth a chadarnhewch na allwch. Yna ceisiwch o un a ddylai, a chadarnhewch eich bod yn cyrraedd gwrandäwr. Mae'r ddau ganlyniad hyn yn gwahanu cyrraeddadwyedd rhwydwaith oddi wrth ymddygiad cymhwysiad, a nhw yw'r unig dystiolaeth sy'n bwysig i'r cwestiwn agoredrwydd.

Nid yw gwrandäwr cyrraeddadwy yr un peth â chymhwysiad hygyrch. Gwiriwch y dystysgrif TLS a'r polisi protocol, yna dilysu ac awdurdodi'r cymhwysiad ei hun. Mae offeryn mewnol sy'n derbyn unrhyw alwr ar y VPN corfforaethol yn agored i bob gliniadur sydd wedi'i gyfaddawdu ar y VPN hwnnw, sy'n risg wahanol i un sy'n wynebu'r rhyngrwyd ond yn dal yn risg.

Cofiwch fod rheolaethau'n wahanol yn ôl math. Mae muriau tân haen cymhwysiad yn cysylltu ag un teulu llwyth-geidwad ac nid y llall, felly cadarnhewch beth sydd ar gael mewn gwirionedd ar gyfer y cynllun a'r math o'ch blaen yn lle rhagdybio cydraddoldeb.

Cam pump: penderfynwch a yw'r enw ei hun yn bwysig

Gall datryswyr cyhoeddus ddatgelu enw gwasanaeth, rhanbarth ac ystod cyfeiriadau. Trin hynny fel cwestiwn datgelu gwybodaeth ag ateb polisi, nid fel digwyddiad awtomatig: cadwch dermau busnes sensitif allan o enwau adnoddau, a nodwch y datgeliad yn eich cofnod risg os yw'r confensiwn enwi'n datgelu mwy nag yr ydych am ei.

Os yw'r sefydliad am brofiad enwi preifat, gall parth a gynhelir yn breifat wasanaethu aliad sy'n datrys yn unig o fewn y VPCau cysylltiedig. Mae hynny'n newid yr enw y mae defnyddwyr yn ei weld; nid yw'n gwneud yr enw a gynhyrchir gan y darparwr yn gyfrinach, ac nid yw'n tynnu unrhyw lwybr rhwydwaith.

Peidiwch â cheisio pinio cyfeiriadau i guddio'r ateb. Mae cyfeiriadau llwyth-geidwad yn newid, mae pinio'n torri arferion dilysu TLS, a'r rheolaeth sydd ei hangen arnoch mewn gwirionedd yw pwy all sefydlu'r cysylltiad a beth mae'r cymhwysiad yn ei fynnu ganddynt. Gwiriwch y pedair ffaith, eu hysgrifennu, ac mae'r cwestiwn yn peidio â bod yn amwys.