Innri ALB með opinbert DNS-nafn: er hann í raun afhjúpaður?

Keyrðu opinbera DNS-fyrirspurn á móti innri álagsdreifingu og þú gætir fengið einkaaðsetur til baka, sem lítur út eins og rangar stillingar þar til þú athugar hvað færslan er fyrir. AWS skjalfestir að nöfn innri álagsdreifinga geti verið opinberlega leysanleg á meðan hnútar þeirra geyma aðeins einkaaðsetur. Leysirinn svaraði hvar þjónustan er; hann bjó ekki til slóð, opnaði ekki öryggishóp og auðkenndi engan. Hvort það svar er vandamál fer eftir staðreyndum sem þú getur athugað í röð.

Fyrsta skref: lestu skemað, ekki IP-tölu

Skemasviðið er eigin yfirlýsing álagsdreifingarinnar um mörk sín. aws elbv2 describe-load-balancers --names app-internal skilar Scheme með gildinu internal eða internet-facing, auk gerðar heimilisfangs fyrir IPv4 eða tvöfaldan stafla. Álagsdreifing sem snýr að internetinu getur samt sent áfram á einkaþræði, þannig að sjón einkaaðsetra á bakenda sannar ekkert um framhliðina.

Skrifaðu skemað niður áður en þú horfir á hvað annað, því hvert síðara mat fer eftir því. Það segir líka hvaða stýringar eru til, frá öryggishópum og hlustandareglum til eiginleika þeirrar tegundar álagsdreifingar. Skema afritað af gömlum skjáskoti af stjórnborðinu er verra en engin athugasemd. Lestu það aftur úr API og límdu gildið í miðann.

Annað skref: sjáðu hvað nafnið leysist í

Spyrðu utan VPC með dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com og taktu eftir hvort svörin eru í 10.0.0.0/8, 172.16.0.0/12 eða 192.168.0.0/16. Einkasvar frá opinberum leysi er vænt hegðun fyrir nafn innri álagsdreifingar; það er ekki sönnun þess að hægt sé að beina aðsetrinu frá internetinu.

Leystu sama nafn innan VPC og berðu saman. Ef svörin tvö eru ólík ertu að horfa á split-horizon nafngiftir, og sá munur er hönnunaratriði, ekki leki.

Þriðja skref: teldu upp slóðirnar sem komast að honum

Einkaaðsetur er aðgengilegt hvar sem slóð og öryggisregla eru til. Teldu þau upp viljandi: VPN milli staða, biðlara-VPN, VPC-peering, tengingar transit gateway, Direct Connect og hvaða umboðsþjónn eða bastion sem er innan VPC. Eitt þeirra er ætluð slóð, og hin eru þau sem árásarmaður myndi leita að.

Athugaðu síðan stýringarnar á hverri slóð: öryggishópa á álagsdreifingunni, net-ACL á undirnetunum og beininguna sem lætur slóðina yfirhöfuð vera til. Flest tilkynnt tilvik um afhjúpaða innri þjónustu leysast hér, annaðhvort vegna þess að óviljandi peering var til eða vegna þess að slóðin var ætluð og forritið hafði enga auðkenningu.

Fjórða skref: prófaðu hlustandann og forritið sitt í hvoru lagi

Reyndu að tengjast frá neti sem ætti ekki að ná þjónustunni og staðfestu að þú getir ekki. Reyndu síðan frá því sem ætti, og staðfestu að þú náir hlustanda. Þessar tvær niðurstöður aðskilja netaðgengi frá hegðun forrits, og þær eru eina sönnunin sem skiptir máli fyrir afhjúpun spurningarinnar.

Aðgengilegur hlustandi er ekki það sama og aðgengilegt forrit. Athugaðu TLS-vottorðið og samskiptareglur, síðan auðkenningu og heimild forritsins sjálfs. Innra tól sem tekur við hverjum hringjanda á fyrirtækja-VPN er afhjúpað fyrir hverri spilltri fartölvu á því VPN, sem er önnur áhætta en sú sem snýr að internetinu en samt áhætta.

Mundu að stýringar eru mismunandi eftir gerð. Eldveggir forritslags tengjast einni álagsdreifingarfjölskyldu og ekki annarri, svo staðfestu hvað er í raun fáanlegt fyrir skemað og gerðina fyrir framan þig í stað þess að gera ráð fyrir samhverfu.

Fimmta skref: ákveddu hvort nafnið sjálft skipti máli

Opinber leysanleiki getur afhjúpað þjónustuheiti, svæði og netheimilisfangssvið. Meðhöndlaðu það sem spurningu um upplýsingaafhjúpun með stefnusvari, ekki sem sjálfvirkt atvik: haltu viðkvæmum viðskiptahugtökum utan auðlindanafna, og skráðu afhjúpunina í áhættuskrána þína ef nafngiftavenjan afhjúpar meira en þú vilt.

Ef samtökin vilja einkanafnaupplifun getur einka hýst svæði þjónað alíasi sem leysist aðeins innan tengdra VPC. Það breytir nafninu sem notendur sjá; það gerir nafnið sem veitandinn býr til ekki leyndarmál og fjarlægir enga netslóð.

Reyndu ekki að festa aðsetur til að fela svarið. Aðsetur álagsdreifingarinnar breytast, festing eyðileggur venjur TLS-staðfestingar, og stýringin sem þú þarft í raun er hver getur stofnað tenginguna og hvað forritið krefst af þeim. Athugaðu fjórar staðreyndirnar, skrifaðu þær niður, og spurningin er ekki lengur tvíræð.