Sisemine ALB avaliku DNS-nimega: kas see on tõesti avatud?

Käivitage avalik DNS-päring sisemise koormusjaoturi vastu ja võite saada tagasi privaatse aadressi, mis näib valesti seadistatud, kuni kontrollite, mille jaoks kirje on. AWS dokumenteerib, et sisemiste koormusjaoturite nimed võivad olla avalikult lahendatavad, samal ajal kui nende sõlmed hoiavad ainult privaatseid aadresse. Resolver vastas, kus teenus asub; see ei loonud marsruuti, ei avanud turvagruppi ega autentinud kedagi. Kas see vastus on probleem, sõltub faktidest, mida saate järjest kontrollida.

Esimene samm: lugege skeemi, mitte IP-d

Skeemi väli on koormusjaoturi enda väide oma piiri kohta. aws elbv2 describe-load-balancers --names app-internal tagastab Scheme väärtusega internal või internet-facing, pluss aadressitüübi IPv4 või kahekordse virna jaoks. Internetile suunatud koormusjaotur võib ikkagi edasi suunata privaatsetele sihtmärkidele, seega privaatsete backend-aadresside nägemine ei tõesta tagumise osa kohta midagi.

Kirjutage skeem üles enne, kui vaatate midagi muud, sest iga hilisem hinnang sõltub sellest. See ütleb ka, millised juhtimisvahendid olemas on, alates turvagruppidest ja listeneri reeglitest kuni selle koormusjaoturi tüübi funktsioonideni. Vanalt konsooli ekraanipildilt kopeeritud skeem on hullem kui märkuse puudumine. Lugege see API-st uuesti ja kleepige väärtus pileti sisse.

Teine samm: vaadake, milleks nimi laheneb

Pärige väljastpoolt VPC-d käsuga dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com ja märkige, kas vastused on vahemikus 10.0.0.0/8, 172.16.0.0/12 või 192.168.0.0/16. Privaatne vastus avalikult resolverilt on sisemise koormusjaoturi nime puhul oodatud käitumine; see ei ole tõestus, et aadress on internetist marsruuditav.

Lahendage sama nimi VPC seest ja võrrelge. Kui kaks vastust erinevad, näete split-horizon nimeandmist, ja see erinevus on disaini detail, mitte leke.

Kolmas samm: loetlege teed, mis sinna jõuavad

Privaatne aadress on kättesaadav kõikjalt, kus on marsruut ja turvareegel. Loetlege need teadlikult: saidi-tollis VPN, kliendi VPN, VPC-peering, transit gateway kinnitused, Direct Connect ning iga puhverserver või bastion VPC sees. Üks neist on kavandatud tee ja ülejäänud on need, mida ründaja otsiks.

Seejärel kontrollige iga tee juhtimisvahendeid: turvagrupid koormusjaoturil, võrgu-ACL-id alamvõrkudel ja marsruutimine, mis tee üldse olemas teeb. Enamik teatatud avatud sisemise teenuse juhtumeid laheneb siin, kas oli soovimatu peering või oli tee kavandatud ja rakendusel puudus autentimine.

Neljas samm: testige listenerit ja rakendust eraldi

Proovige ühenduda võrgust, mis ei peaks teenuseni jõudma, ja kinnitage, et ei saa. Seejärel proovige võrgust, mis peaks, ja kinnitage, et jõuate listenerini. Need kaks tulemust eraldavad võrgu kättesaadavuse rakenduse käitumisest ja need on ainus tõend, mis avatuse küsimuses loeb.

Kättesaadav listener ei ole sama mis ligipääsetav rakendus. Kontrollige TLS-sertifikaati ja protokollipoliitikat, seejärel rakenduse enda autentimist ja autoriseerimist. Sisemine tööriist, mis võtab vastu iga kutsuja ettevõtte VPN-is, on avatud igale kompromiteeritud sülearvutile selles VPN-is, mis on teistsugune risk kui internetile suunatud, kuid siiski risk.

Pidage meeles, et juhtimisvahendid erinevad tüübi järgi. Rakenduskihi tulemüürid kinnituvad ühele koormusjaoturi perekonnale ja mitte teisele, seega kinnitage, mis on teie ees oleva skeemi ja tüübi jaoks tegelikult saadaval, selle asemel et eeldada võrdsust.

Viies samm: otsustage, kas nimi ise on oluline

Avalik lahendatavus võib paljastada teenuse nime, piirkonna ja aadressivahemiku. Käsitlege seda poliitikavastusega teabe paljastamise küsimusena, mitte automaatse juhtumina: hoidke tundlikud äriterminid ressursside nimedest väljas ja märkige paljastamine oma riskiregistrisse, kui nimekonventsioon paljastab rohkem, kui soovite.

Kui organisatsioon soovib privaatset nimekogemust, saab privaatne hostitud tsoon teenindada aliast, mis laheneb ainult seotud VPC-des. See muudab nime, mida kasutajad näevad; see ei muuda pakkuja genereeritud nime salajaseks ega eemalda ühtegi võrguteed.

Ärge proovige aadresse kinnitada, et vastust varjata. Koormusjaoturi aadressid muutuvad, kinnitamine rikub TLS-i valideerimise harjumusi ja juhtimisvahend, mida tegelikult vajate, on see, kes saab ühenduse luua ja mida rakendus neilt nõuab. Kontrollige neli fakti, kirjutage need üles ja küsimus ei ole enam mitmetähenduslik.