Ички ALB жана ачык DNS аты: чын эле ачыкпы?
Ачык resolver ички AWS жүктөө теңдегичи үчүн жеке даректерди кайтарышы мүмкүн. Аны ачык деп атоодон мурун схеманы, жолдорду жана listener-ди текшериңиз.
Ички жүктөө теңдегичине каршы ачык DNS суроо жүргүзсөңүз, жеке дарек кайтышы мүмкүн; бул жазуу эмне үчүн экенин текшермейинче туура эмес конфигурациядай көрүнөт. AWS ички теңдегичтердин аттары ачык чечилүүчү болушу мүмкүн, ал эми алардын түйүндөрүндө гана жеке даректер бар экенин документтейт. Resolver кызматтын кайда экенин айтты; ал маршрут түзгөн жок, коопсуздук тобун ачкан жок жана эч кимди аутентификациялаган жок. Бул жооп көйгөйбү, ал тартип менен текшере ала турган фактыларга байланыштуу.
Биринчи кадам: IP эмес, схеманы окуңуз
Схема талаасы — теңдегичтин өз чек арасы тууралуу билдирүүсү. aws elbv2 describe-load-balancers --names app-internal internal же internet-facing маанисиндеги Scheme кайтарат, кошумча IPv4 же кош стек үчүн дарек түрүн. Интернетке караган теңдегич жеке максаттарга өткөрө алат, ошондуктан жеке backend даректерин көрүү алдыңкы бөлүк тууралуу эч нерсени далилдебейт.
Башка нерсеге караганга чейин схеманы жазып алыңыз, анткени кийинки ар бир баа берүү ага байланыштуу. Ал кандай көзөмөлдөр бар экенин да айтат: коопсуздук топтору жана listener эрежелеринен тартып ошол теңдегич түрүнүн мүмкүнчүлүктөрүнө чейин. Эски консолдук скриншоттон көчүрүлгөн схема эч кандай жазуу жок болгондон жаман. Аны APIден кайра окуп, маанини тикетке чаптаңыз.
Экинчи кадам: ат эмнеге чечилерин караңыз
VPC сыртынан dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com менен сурап, жооптор 10.0.0.0/8, 172.16.0.0/12 же 192.168.0.0/16 диапазонунда экенин белгилеңиз. Ачык resolverден жеке жооп ички теңдегич аты үчүн күтүлгөн жүрүм-турум; бул даректин интернеттен маршрутталарын далилдебейт.
Ошол эле атты VPC ичинен чечип, салыштырыңыз. Эки жооп башкача болсо, сиз split-horizon атоосун көрүп жатасыз, ал айырма дизайн деталы, агым эмес.
Үчүнчү кадам: ага жете ала турган жолдорду тизмектеңиз
Жеке дарек маршрут жана коопсуздук эрежеси бар жердин баарынан жеткиликтүү. Аларды атайын тизмектеңиз: сайт-сайт VPN, кардар VPN, VPC peering, transit gateway туташуулары, Direct Connect жана VPC ичиндеги ар кандай proxy же bastion. Алардын бири көздөлгөн жол, калгандары чабуулчу издеген жолдор.
Андан кийин ар бир жолдогу көзөмөлдөрдү текшериңиз: теңдегичтеги коопсуздук топтору, ички тармактардагы тармактык ACL жана жолду жараткан маршруттоо. Ачык ички кызмат тууралуу билдирилген учурлардын көбү ушунда чечилет: же көздөлбөгөн peering болгон, же жол көздөлгөн жана колдонмодо аутентификация жок болгон.
Төртүнчү кадам: listener жана колдонмону өзүнчө текшериңиз
Кызматка жетпеши керек тармактан туташууга аракет кылып, жете албайсызбы текшериңиз. Анан жетиши керек тармактан аракет кылып, listener-ге жетээриңизди ырастаңыз. Бул эки жыйынтык тармактык жеткиликтүүлүктү колдонмонун жүрүм-турумунан ажыратат жана ачыктык суроосу үчүн маанилүү жалгыз далил.
Жеткиликтүү listener жеткиликтүү колдонмо менен бирдей эмес. TLS сертификатын жана протокол саясатын, анан колдонмонун өз аутентификациясын жана авторизациясын текшериңиз. Корпоративдик VPNде ар кандай чакыруучуну кабыл алган ички курал ошол VPNдеги ар бир бузулган ноутбукка ачык, бул интернетке караган тобокелдиктен башкача, бирок дагы эле тобокелдик.
Көзөмөлдөр түргө жараша айырмаланарын унутпаңыз. Колдонмо катмарындагы firewall-дар бир теңдегич үй-бүлөсүнө тиркелет, экинчисине эмес, ошондуктан теңдикти болжолдоонун ордуна алдыңыздагы схема жана түр үчүн чындап эмне бар экенин ырастаңыз.
Бешинчи кадам: аттын өзү маанилүүбү, аны чечиңиз
Ачык чечилүү мүмкүнчүлүгү кызматтын атын, аймакты жана дарек диапазонун ача алат. Муну саясий жообу бар маалыматты ачуу маселеси катары караңыз, автоматтык окуя катары эмес: купуя ишкердик терминдерди ресурс аттарынан тышкары кармаңыз жана ат коюу конвенциясы каалагандан көбүрөөк ачса, ачууну тобокелдик журналына жазыңыз.
Эгер уюм жеке ат коюу тажрыйбасын кааласа, жеке hosted zone тек байланышкан VPC ичинде чечилүүчү alias сунуштай алат. Бул колдонуучулар көргөн атты өзгөртөт; провайдер жараткан атты жашыруун кылбайт жана эч бир тармактык жолду жок кылбайт.
Жоопту жашыруу үчүн даректерди бекитүүгө аракет кылбаңыз. Теңдегичтин даректери өзгөрөт, бекитүү TLS текшерүү адаттарын бузат, ал эми чындап керектүү көзөмөл — ким байланыш түзө алат жана колдонмо алардан эмнени талап кылат. Төрт фактыны текшерип, жазыңыз, суроо эми эки маанилүү болбойт.