Barneko ALB DNS-izen publikoarekin: benetan agerian dago?
Resolvatziale publiko batek helbide pribatuak itzul ditzake barneko AWS karga-orekatzailearentzat. Egiaztatu eskema, bideak eta listenerra agerian dagoela esan aurretik.
Egin DNS kontsulta publiko bat barneko karga-orekatzaile baten aurka, eta helbide pribatu bat jaso dezakezu, okerreko konfigurazio baten itxura duena erregistroa zertarako den egiaztatu arte. AWSek dokumentatzen du barneko karga-orekatzaileen izenak publikoki ebazgarriak izan daitezkeela, haien nodoek helbide pribatuak bakarrik badituzte ere. Resolvatzialeak erantzun zuen zerbitzua non dagoen; ez zuen ibilbiderik sortu, ez zuen segurtasun-talde bat ireki eta ez zuen inor autentifikatu. Erantzun hori arazoa den ala ez, ordenan egiaztatu ditzakezun egitateen araberakoa da.
Lehen urratsa: irakurri eskema, ez IPa
Eskema-eremua karga-orekatzaileak bere mugari buruz egiten duen adierazpena da. aws elbv2 describe-load-balancers --names app-internal-ek Scheme bat itzultzen du internal edo internet-facing balioarekin, eta IPv4 edo pila bikoitzerako helbide mota bat. Interneti begira dagoen karga-orekatzaile batek helburu pribatuetara birbidal dezake oraindik, beraz backend helbide pribatuak ikusteak ez du ezer frogatzen aurreko aldeaz.
Idatzi eskema beste ezer ikusi aurretik, geroagoko judizio bakoitza harekin lotuta baitago. Gainera, zein kontrol dauden adierazten du, segurtasun-taldeetatik eta listener arauetatik hasi eta karga-orekatzaile mota horren funtzio-multzoraino. Kontsolako pantaila-argazki zahar batetik kopiatutako eskema oharrik ez edukitzea baino okerragoa da. Irakurri berriro API-tik eta itsatsi balioa txartelean.
Bigarren urratsa: ikusi zertara ebazten den izena
Galdetu VPCtik kanpo dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com erabiliz eta ohartu erantzunak 10.0.0.0/8, 172.16.0.0/12 edo 192.168.0.0/16 tartean dauden. Resolvatziale publiko baten erantzun pribatua barneko karga-orekatzaile baten izenerako espero den portaera da; ez da helbidea internetetik bideragarria den froga.
Ebatzi izen bera VPCtik barru eta alderatu. Bi erantzunak desberdinak badira, split-horizon izendapena ikusten ari zara, eta desberdintasun hori diseinu-xehetasun bat da, ez ihes bat.
Hirugarren urratsa: zerrendatu hara irits daitezkeen bideak
Helbide pribatu bat ibilbide eta segurtasun-arau bat dauden edonondik irisgarria da. Zerrendatu horiek nahita: gune arteko VPN, bezero VPN, VPC peering, transit gateway eranskinak, Direct Connect eta VPC barruko edozein proxy edo bastioi. Horietako bat da nahi den bidea, eta gainerakoak erasotzaile batek bilatuko lituzkeenak.
Gero egiaztatu bide bakoitzeko kontrolak: segurtasun-taldeak karga-orekatzailean, sareko ACLak azpisareetan eta bidea existitzen duen ibilbideratzea. Agerian dagoen barne-zerbitzuaren salatutako kasu gehienak hemen konpontzen dira, nahi gabeko peering bat zegoelako edo bidea nahita zegoelako eta aplikazioak autentifikaziorik ez zuelako.
Laugarren urratsa: probatu listenerra eta aplikazioa bereizita
Saiatu zerbitzura iritsi behar ez duen sare batetik konektatzen eta egiaztatu ezin duzula. Gero saiatu iritsi behar duen batetik, eta egiaztatu listener batera iristen zarela. Bi emaitza horiek sareko irisgarritasuna aplikazioaren portaeratik bereizten dute, eta agerian egotearen galderarako axola duen froga bakarra dira.
Irisgarria den listener bat ez da aplikazio irisgarri bat bezalakoa. Egiaztatu TLS ziurtagiria eta protokolo-politika, gero aplikazioaren beraren autentifikazioa eta baimena. Enpresako VPNean edozein deitzzaile onartzen duen barneko tresna VPNean konprometitutako edozein eramangarriren aurrean dago agerian, eta hori interneti begira dagoen arriskuaren desberdina da, baina arrisku oraindik.
Gogoratu kontrolak motaren arabera desberdinak direla. Aplikazio-geruzako suebakiak karga-orekatzaile familia batera atxikitzen dira eta ez beste batera, beraz egiaztatu zure aurrean dagoen eskemarako eta motarako benetan zer dagoen, berdintasuna suposatu beharrean.
Bosgarren urratsa: erabaki izenak berak axola duen
Ebazgarritasun publikoak zerbitzu-izen bat, eskualde bat eta helbide-tarte bat ezagutaraz ditzake. Hartu hori politika-erantzuna duen informazio-agerketa gisa, ez automatikoki gertakari gisa: mantendu negozio-termino sentikorrak baliabide-izenetatik kanpo, eta erregistratu agerketa zure arrisku-erregistroan izendapen-konbentzioak nahi duzuna baino gehiago erakusten badu.
Erakundeak izendapen esperientzia pribatua nahi badu, hosted zona pribatu batek VPC elkartuen barruan soilik ebazten den alias bat eskain dezake. Horrek erabiltzaileek ikusten duten izena aldatzen du; ez ditu hornitzaileak sortutako izena sekretu bihurtzen eta ez du sare-biderik kentzen.
Ez saiatu helbideak finkatzen erantzuna ezkutatzeko. Karga-orekatzailearen helbideak aldatzen dira, finkatzeak TLS egiaztapenaren ohiturak hausten ditu, eta benetan behar duzun kontrola da nor den konexioa ezartzeko gai eta aplikazioak haiei zer eskatzen dien. Egiaztatu lau egitateak, idatzi, eta galdera ez da gehiago anbiguoa.