ALB na ciki da sunan DNS na jama'a: shin da gaske yana fallasa?

Gudanar da binciken DNS na jama'a a kan ma'aunin kaya na ciki kuma za ka iya samun adireshin sirri a mayar, wanda yake kama da kuskuren saiti har sai ka duba don me rikodin yake. AWS ya rubuta cewa sunayen ma'aunin kaya na ciki na iya zama masu warwarewa a bainar jama'a yayin da nodes ɗinsu ke rike da adireshi na sirri kawai. Mai nazari ya amsa inda sabis ɗin yake; bai ƙirƙiri hanya ba, bai buɗe ƙungiyar tsaro ba kuma bai tabbatar da kowa ba. Ko wannan amsar matsala ce ya dogara da gaskiyar da za ka iya dubawa a jere.

Mataki na farko: karanta tsarin, ba IP ba

Filin tsarin shine bayanin ma'aunin kaya da kansa game da iyakarsa. aws elbv2 describe-load-balancers --names app-internal yana mayar da Scheme mai darajar internal ko internet-facing, tare da nau'in adireshi don IPv4 ko dual stack. Ma'aunin kaya da ke fuskantar intanet na iya tura zuwa maƙasudai na sirri, don haka ganin adireshin backend na sirri ba ya tabbatar da komai game da gaban.

Rubuta tsarin kafin ka duba wani abu, domin kowane hukunci na gaba ya dogara da shi. Yana kuma faɗin waɗanne kulawa suke, daga ƙungiyoyin tsaro da dokokin mai sauraro zuwa jerin fasalulluka na wannan nau'in ma'aunin kaya. Tsarin da aka kwafa daga tsohon hoton allo na console ya fi muni fiye da babu bayani. Sake karanta shi daga API ka liƙa darajar a tikitin.

Mataki na biyu: ga abin da sunan yake warwarewa

Tambaya daga wajen VPC da dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com ka lura ko amsoshin suna cikin 10.0.0.0/8, 172.16.0.0/12 ko 192.168.0.0/16. Amsa ta sirri daga mai nazari na jama'a ita ce halin da ake tsammani ga sunan ma'aunin kaya na ciki; ba hujja ba ce cewa adireshin ana iya tura shi daga intanet.

Warware wannan sunan daga cikin VPC ka kwatanta. Idan amsoshin biyu sun bambanta, kana fuskantar suna na split-horizon, kuma wannan bambancin dalla-dalla ne na ƙira, ba ɓarna ba.

Mataki na uku: lissafa hanyoyin da za su iya isa gare shi

Adireshin sirri ana iya isa gare shi daga duk inda akwai hanya da dokar tsaro. Lissafa su da gangan: VPN na site-to-site, VPN na abokin ciniki, haɗin VPC, haɗe-haɗen transit gateway, Direct Connect da kowane wakili ko bastion a cikin VPC. Ɗaya daga cikinsu ita ce hanyar da aka nufa, sauran kuma su ne waɗanda mai hari zai nema.

Sannan duba kulawa a kowace hanya: ƙungiyoyin tsaro a kan ma'aunin kaya, ACL na cibiyar sadarwa a kan subnet, da tura wanda ke sa hanyar ta wanzu. Yawancin maganganun da aka ruwaito na sabis na ciki da ya fallasa ana warware su a nan, ko dai an sami haɗin da ba a nufa ba ko kuma an nufi hanyar kuma aikace-aikacen ba shi da tabbaci.

Mataki na huɗu: gwada mai sauraro da aikace-aikacen daban

Gwada haɗi daga cibiyar sadarwar da bai kamata ta isa sabis ɗin ba ka tabbatar ba za ka iya ba. Sannan gwada daga wadda ta kamata, ka tabbatar ka isa mai sauraro. Waɗannan sakamako biyu sun raba isa na cibiyar sadarwa da halin aikace-aikace, kuma su ne kawai hujja da ke da mahimmanci ga tambayar fallasa.

Mai sauraro da ake iya isa ba iri ɗaya ba ne da aikace-aikacen da ake iya shiga. Duba takardar shaidar TLS da manufar yarjejeniya, sannan tabbaci da izinin aikace-aikacen kansa. Kayan aiki na ciki da ke karɓar kowane mai kira a VPN na kamfani yana fallasa ga kowace kwamfutar tafi-da-gidanka da aka lalata a wannan VPN, wanda wani haɗari ne daban da na fuskantar intanet amma har yanzu haɗari ne.

Ka tuna cewa kulawa sun bambanta bisa nau'i. Katangar wuta na matakin aikace-aikace suna manne da iyali ɗaya na ma'aunin kaya ba ɗayan ba, don haka tabbatar da abin da ke akwai a zahiri ga tsarin da nau'in da ke gabanka maimakon ɗauka daidaito.

Mataki na biyar: yanke shawara ko sunan kansa yana da mahimmanci

Warwarewar jama'a na iya bayyana sunan sabis, yanki da kewayon adireshi. Ɗauki wannan a matsayin tambayar bayyana bayanai da amsar manufa, ba wani lamari na atomatik ba: ka nisanta kalmomin kasuwanci masu mahimmanci daga sunayen albarkatu, kuma rubuta bayyanar a rikodin haɗarinka idan tsarin suna ya bayyana fiye da abin da kake so.

Idan ƙungiyar tana son ƙwarewar suna ta sirri, yankin da aka shirya na sirri zai iya ba da laƙabi wanda kawai ake warwarewa a cikin VPC ɗin da ke da alaƙa. Wannan yana canza sunan da masu amfani ke gani; ba ya sa sunan da mai bayarwa ya ƙirƙira ya zama sirri kuma ba ya cire kowace hanyar cibiyar sadarwa.

Kada ka yi ƙoƙarin liƙa adireshi don ɓoye amsar. Adireshin ma'aunin kaya suna canzawa, liƙawa yana karya dabi'un tabbatar da TLS, kuma kulawar da kake buƙata da gaske ita ce wanda zai iya kafa haɗin da abin da aikace-aikacen ke buƙata daga gare su. Duba gaskiyar huɗu, rubuta su, kuma tambayar ba ta zama mai ruɗani ba.