Ішкі ALB және жария DNS атауы: шынымен ашық па?
Жария resolver ішкі AWS жүктеме теңгергіші үшін жеке мекенжайларды қайтаруы мүмкін. Оны ашық деп атамас бұрын схеманы, жолдарды және listener-ді тексеріңіз.
Ішкі жүктеме теңгергішіне қарсы жария DNS сұрауын орындаңыз, сонда жеке мекенжай қайтуы мүмкін; бұл жазбаның не үшін екенін тексермейінше қате конфигурация сияқты көрінеді. AWS ішкі теңгергіш атаулары жария түрде шешілетін болуы мүмкін, ал олардың түйіндері тек жеке мекенжайларды ұстайтынын құжаттайды. Resolver қызметтің қайда екенін айтты; ол маршрут жасамады, қауіпсіздік тобын ашпады және ешкімді аутентификацияламады. Бұл жауап мәселе ме, ол ретімен тексере алатын фактілерге байланысты.
Бірінші қадам: IP емес, схеманы оқыңыз
Схема өрісі — теңгергіштің өз шекарасы туралы мәлімдемесі. aws elbv2 describe-load-balancers --names app-internal internal немесе internet-facing мәнімен Scheme қайтарады, қоса IPv4 немесе қос стек үшін мекенжай түрін. Интернетке қараған теңгергіш жеке мақсаттарға жіберуі мүмкін, сондықтан жеке backend мекенжайларын көру алдыңғы жақ туралы ештеңе дәлелдемейді.
Басқа нәрсеге қарамас бұрын схеманы жазып алыңыз, өйткені әрі қарайғы әрбір бағалау оған байланысты. Ол қандай бақылаулар бар екенін де айтады: қауіпсіздік топтары мен listener ережелерінен бастап сол теңгергіш түрінің мүмкіндіктеріне дейін. Ескі консоль скриншотынан көшірілген схема ешбір жазбадан да нашар. Оны API-ден қайта оқып, мәнді тикетке қойыңыз.
Екінші қадам: аттың неге шешілетінін қараңыз
VPC сыртынан dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com арқылы сұраңыз және жауаптардың 10.0.0.0/8, 172.16.0.0/12 немесе 192.168.0.0/16 екенін белгілеңіз. Жария resolver-ден жеке жауап ішкі теңгергіш атауы үшін күтілетін мінез-құлық; бұл мекенжайдың интернеттен маршрутталатынын дәлелдемейді.
Сол атты VPC ішінен шешіп, салыстырыңыз. Екі жауап өзгеше болса, сіз split-horizon атауын көріп отырсыз, бұл айырмашылық дизайн деталі, ағып кету емес.
Үшінші қадам: оған жете алатын жолдарды тізімдеңіз
Жеке мекенжай маршрут пен қауіпсіздік ережесі бар жердің кез келгенінен қолжетімді. Оларды әдейі тізімдеңіз: сайт-сайт VPN, клиенттік VPN, VPC peering, transit gateway қосылымдары, Direct Connect және VPC ішіндегі кез келген proxy немесе bastion. Олардың біреуі көзделген жол, қалғандары шабуылдаушы іздейтін жолдар.
Содан кейін әр жолдағы бақылауларды тексеріңіз: теңгергіштегі қауіпсіздік топтары, ішкі желілердегі желілік ACL және жолды тудыратын маршруттау. Ашық ішкі қызмет туралы хабарланған жағдайлардың көбі осында шешіледі: не көзделмеген peering болды, не жол көзделген еді және қосымшада аутентификация болмады.
Төртінші қадам: listener мен қосымшаны бөлек тексеріңіз
Қызметке жетпеуі тиіс желіден қосылуға тырысып, жете алмайтыныңызды растаңыз. Содан кейін жетуі тиіс желіден көріңіз және listener-ге жететініңізді растаңыз. Бұл екі нәтиже желілік қолжетімділікті қосымша мінез-құлқынан ажыратады және ашықтық мәселесі үшін маңызды жалғыз дәлел.
Қолжетімді listener қолжетімді қосымшамен бірдей емес. TLS сертификаты мен протокол саясатын, содан кейін қосымшаның өз аутентификациясы мен авторизациясын тексеріңіз. Корпоративтік VPN-де кез келген шақырушыны қабылдайтын ішкі құрал сол VPN-дегі әрбір бұзылған ноутбукқа ашық, бұл интернетке қараған тәуекелден өзгеше, бірақ бәрібір тәуекел.
Бақылаулар түрге қарай өзгеретінін ұмытпаңыз. Қосымша деңгейіндегі firewall-дар бір теңгергіш тобына тіркеледі, екіншісіне емес, сондықтан теңдікті болжаудың орнына алдыңыздағы схема мен түр үшін шынымен не бар екенін растаңыз.
Бесінші қадам: атаудың өзі маңызды ма, соны шешіңіз
Жария шешілу мүмкіндігі қызмет атауын, аймақты және мекенжай диапазонын аша алады. Мұны саяси жауабы бар ақпаратты ашу мәселесі ретінде қарастырыңыз, автоматты оқиға ретінде емес: құпия іскерлік терминдерді ресурс атауларынан тыс ұстаңыз және атау конвенциясы қалағаныңыздан көбін ашса, ашуды тәуекел журналына жазыңыз.
Егер ұйым жеке атау тәжірибесін қаласа, жеке hosted zone тек байланысқан VPC ішінде шешілетін alias ұсына алады. Бұл пайдаланушылар көретін атауды өзгертеді; провайдер жасаған атауды құпия етпейді және ешбір желілік жолды жоймайды.
Жауапты жасыру үшін мекенжайларды бекітуге тырыспаңыз. Теңгергіш мекенжайлары өзгереді, бекіту TLS тексеру әдеттерін бұзады, ал шынымен қажет бақылау — кім байланыс орната алады және қосымша олардан не талап етеді. Төрт фактіні тексеріп, жазыңыз, сұрақ енді екіұшты болмайды.