आंतरिक ALB, सार्वजनिक DNS नाम: क्या यह वास्तव में उजागर है?

किसी आंतरिक लोड बैलेंसर के विरुद्ध सार्वजनिक DNS लुकअप चलाएँ और आपको निजी पता वापस मिल सकता है, जो तब तक गलत कॉन्फ़िगरेशन जैसा लगता है जब तक आप जाँच न लें कि रिकॉर्ड किसलिए है। AWS दस्तावेज़ित करता है कि आंतरिक लोड बैलेंसर के नाम सार्वजनिक रूप से हल हो सकते हैं, जबकि उनके नोड केवल निजी पते रखते हैं। रिज़ॉल्वर ने बताया कि सेवा कहाँ है; उसने कोई रूट नहीं बनाया, सुरक्षा समूह नहीं खोला और किसी को प्रमाणित नहीं किया। वह उत्तर समस्या है या नहीं यह उन तथ्यों पर निर्भर है जिन्हें आप क्रम से जाँच सकते हैं।

पहला चरण: स्कीम पढ़ें, IP नहीं

स्कीम फ़ील्ड लोड बैलेंसर का अपनी सीमा के बारे में अपना कथन है। aws elbv2 describe-load-balancers --names app-internal internal या internet-facing मान वाला Scheme लौटाता है, साथ में IPv4 या डुअल स्टैक के लिए पता प्रकार। इंटरनेट की ओर का लोड बैलेंसर फिर भी निजी लक्ष्यों पर अग्रेषित कर सकता है, इसलिए निजी बैकएंड पते देखना फ्रंट एंड के बारे में कुछ सिद्ध नहीं करता।

कुछ और देखने से पहले स्कीम लिख लें, क्योंकि हर बाद का निर्णय उसी पर निर्भर है। यह यह भी बताता है कि कौन-से नियंत्रण मौजूद हैं, सुरक्षा समूहों और लिसनर नियमों से लेकर उस लोड बैलेंसर प्रकार की सुविधाओं तक। पुराने कंसोल स्क्रीनशॉट से कॉपी की गई स्कीम किसी नोट न होने से भी बुरी है। इसे API से फिर पढ़ें और मान टिकट में पेस्ट करें।

दूसरा चरण: देखें कि नाम किसमें हल होता है

VPC के बाहर से dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com के साथ क्वेरी करें और देखें कि उत्तर 10.0.0.0/8, 172.16.0.0/12 या 192.168.0.0/16 में हैं। सार्वजनिक रिज़ॉल्वर से निजी उत्तर आंतरिक लोड बैलेंसर नाम के लिए अपेक्षित व्यवहार है; यह प्रमाण नहीं है कि पता इंटरनेट से रूट करने योग्य है।

VPC के भीतर से वही नाम हल करें और तुलना करें। यदि दोनों उत्तर भिन्न हैं, तो आप स्प्लिट-हॉराइज़न नामकरण देख रहे हैं, और वह अंतर डिज़ाइन का विवरण है, लीक नहीं।

तीसरा चरण: वे पथ सूचीबद्ध करें जो वहाँ पहुँच सकते हैं

निजी पता वहाँ से पहुँच योग्य है जहाँ रूट और सुरक्षा नियम मौजूद हों। उन्हें जानबूझकर सूचीबद्ध करें: साइट-टू-साइट VPN, क्लाइंट VPN, VPC पियरिंग, ट्रांज़िट गेटवे अटैचमेंट, Direct Connect और VPC के भीतर कोई भी प्रॉक्सी या बैस्टियन। उनमें से एक इच्छित पथ है, और बाकी वे हैं जिन्हें कोई हमलावर खोजेगा।

फिर हर पथ पर नियंत्रण जाँचें: लोड बैलेंसर पर सुरक्षा समूह, सबनेट पर नेटवर्क ACL, और वह रूटिंग जो पथ को बनाती है। उजागर आंतरिक सेवा के अधिकांश रिपोर्ट किए गए मामले यहीं सुलझते हैं, या तो अनचाही पियरिंग थी या पथ इच्छित था और एप्लिकेशन में कोई प्रमाणीकरण नहीं था।

चौथा चरण: लिसनर और एप्लिकेशन अलग-अलग जाँचें

ऐसे नेटवर्क से कनेक्ट करने का प्रयास करें जिसे सेवा तक नहीं पहुँचना चाहिए और पुष्टि करें कि आप नहीं कर सकते। फिर ऐसे नेटवर्क से प्रयास करें जिसे पहुँचना चाहिए, और पुष्टि करें कि आप लिसनर तक पहुँचते हैं। ये दोनों परिणाम नेटवर्क पहुँच को एप्लिकेशन व्यवहार से अलग करते हैं, और उजागर होने के प्रश्न के लिए यही एकमात्र महत्वपूर्ण प्रमाण हैं।

पहुँच योग्य लिसनर सुलभ एप्लिकेशन के समान नहीं है। TLS प्रमाणपत्र और प्रोटोकॉल नीति, फिर एप्लिकेशन का अपना प्रमाणीकरण और प्राधिकरण जाँचें। कॉर्पोरेट VPN पर किसी भी कॉलर को स्वीकार करने वाला आंतरिक टूल उस VPN के हर समझौता किए गए लैपटॉप के सामने उजागर है, जो इंटरनेट की ओर वाले जोखिम से भिन्न है, पर फिर भी जोखिम है।

याद रखें कि नियंत्रण प्रकार के अनुसार भिन्न होते हैं। एप्लिकेशन-परत फ़ायरवॉल एक लोड बैलेंसर परिवार से जुड़ते हैं, दूसरे से नहीं, इसलिए समानता मानने के बजाय पुष्टि करें कि आपके सामने की स्कीम और प्रकार के लिए वास्तव में क्या उपलब्ध है।

पाँचवाँ चरण: तय करें कि क्या नाम का अपना महत्व है

सार्वजनिक हल होने की क्षमता सेवा का नाम, क्षेत्र और पता श्रेणी प्रकट कर सकती है। इसे नीति-उत्तर वाला सूचना प्रकटीकरण प्रश्न मानें, स्वचालित घटना नहीं: संवेदनशील व्यावसायिक शब्द संसाधन नामों से बाहर रखें, और यदि नामकरण परंपरा आपकी इच्छा से अधिक प्रकट करती है तो जोखिम रिकॉर्ड में प्रकटीकरण दर्ज करें।

यदि संगठन निजी नामकरण अनुभव चाहता है, तो निजी होस्टेड ज़ोन ऐसा उपनाम दे सकता है जो केवल संबद्ध VPC के भीतर हल हो। यह उपयोगकर्ताओं को दिखने वाला नाम बदलता है; यह प्रदाता द्वारा बनाए गए नाम को गुप्त नहीं बनाता और कोई नेटवर्क पथ नहीं हटाता।

उत्तर छिपाने के लिए पते पिन करने का प्रयास न करें। लोड बैलेंसर के पते बदलते हैं, पिनिंग TLS सत्यापन की आदतें तोड़ती है, और वास्तव में जो नियंत्रण आपको चाहिए वह यह है कि कौन कनेक्शन स्थापित कर सकता है और एप्लिकेशन उनसे क्या मांगता है। चार तथ्य जाँचें, लिख लें, और प्रश्न अस्पष्ट नहीं रहता।