Internen ALB mat ëffentlechem DNS-Numm: ass en wierklech exponéiert?

Fëllt eng ëffentlech DNS-Ufro géint en internen Loadbalancer aus an Dir kritt vläicht eng privat Adress zréck, wat wéi eng falsch Konfiguratioun ausgesäit, bis Dir kontrolléiert wofir d'Enregistrement ass. AWS dokumentéiert datt Nimm vun internen Loadbalanceren ëffentlech opléisbar kënne sinn, während hir Kniet nëmme privat Adressen hunn. Den Resolver huet geäntwert wou de Service ass; en huet keng Route gemaach, keng Sécherheetsgrupp opgemaach an keen authentifizéiert. Ob déi Äntwert e Problem ass, hänkt vu Fakten of, déi Dir an der Reiefolleg kontrolléiere kënnt.

Éischte Schrëtt: liest de Schema, net d'IP

D'Schema-Feld ass d'Aussag vum Loadbalancer selwer iwwer seng Grenz. aws elbv2 describe-load-balancers --names app-internal gëtt en Scheme mat deem Wäert internal oder internet-facing zréck, plus en Adresstyp fir IPv4 oder duebel Stack. En internetorientéierte Loadbalancer kann nach ëmmer op privat Ziler weiderleeden, also beweist d'Gesinn vun private Backend-Adressen näischt iwwer d'Frontend.

Schreift de Schema op, ier Dir op eppes anescht kuckt, well all spéider Bewäertung dovun ofhänkt. Et seet och wéi eng Kontrollen existéieren, vu Sécherheetsgruppen a Listener-Reegelen bis zum Funktiounsset vun deem Loadbalancer-Typ. E Schema, deen aus engem ale Konsol-Screenshot kopéiert gouf, ass schléisser wéi keng Notiz. Liest en nach eng Kéier aus der API a füügt de Wäert an den Ticket an.

Zweeten Schrëtt: kuckt wourop den Numm opléist

Frot vun ausserhalb vun der VPC mat dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com a notéiert ob d'Äntwerten an 10.0.0.0/8, 172.16.0.0/12 oder 192.168.0.0/16 leien. Eng privat Äntwert vun engem ëffentleche Resolver ass dat erwaart Verhalen fir en Numm vun engem internen Loadbalancer; et ass kee Beweis datt d'Adress vum Internet aus routbar ass.

Léist dee selwechten Numm vun innerhalb vun der VPC a vergläicht. Wann déi zwou Äntwerten ënnerscheeden, gesitt Dir Split-Horizon-Nammsetzung, an deen Ënnerscheed ass en Design-Detail, keng Leck.

Drëtte Schrëtt: zielt d'Weeër op déi en erreeche kënnen

Eng privat Adress ass erreechbar vu wou eng Route an eng Sécherheetsregel existéieren. Zielt se bewosst op: Site-to-Site-VPN, Client-VPN, VPC-Peering, Transit-Gateway-Uschlëss, Direct Connect an all Proxy oder Bastion bannent der VPC. Eng vun hinnen ass de geplangte Wee, an déi aner sinn déi, déi en Ugräifer siche géif.

Kontrolléiert dann d'Kontrollen op all Wee: Sécherheetsgruppen um Loadbalancer, Netzwierk-ACLen op den Subnetzen an d'Routing déi de Wee iwwerhaapt entstoe léisst. Déi meescht gemellt Fäll vun engem exponéierte internen Service léisen sech hei, entweder well et en onbewosst Peering gouf oder well de Wee bewosst war an d'Applikatioun keng Authentifikatioun hat.

Véierte Schrëtt: test de Listener an d'Applikatioun getrennt

Probéiert aus engem Netz ze verbannen, dat de Service net soll erreechen, a bestätegt datt Dir net kënnt. Probéiert duerno aus engem, dat soll, a bestätegt datt Dir en Listener erreecht. Déi zwou Resultater trennen d'Netzwierkerreechbarkeet vum Applikatiounsverhalen, a si sinn deen eenzegen Beweis dee fir d'Expositiounsfro zielt.

En erreechbare Listener ass net d'selwecht wéi eng zougänglech Applikatioun. Kontrolléiert den TLS-Zertifikat an d'Protokollpolitik, duerno d'Authentifikatioun an d'Autorisatioun vun der Applikatioun selwer. En internen Tool deen all Uruffer am Firmen-VPN akzeptéiert ass exponéiert fir all kompromittéierte Laptop an deem VPN, wat en anere Risiko ass wéi en internetorientéierten, awer nach ëmmer e Risiko.

Denkt drun datt Kontrollen no Typ variéieren. Firewallen op der Applikatiounsschicht hänken un enger Loadbalancer-Famill an net un der anerer, also bestätegt wat wierklech fir de Schema an den Typ virun Iech disponibel ass, amplaz Gläichheet unzehuelen.

Fënnefte Schrëtt: entscheet ob den Numm selwer wichteg ass

Ëffentlech Opléisbarkeet kann e Servicenumm, eng Regioun an en Adressberäich preisginn. Behandelt dat als eng Fro vun der Informatiounspreisgabe mat enger politescher Äntwert, net als automateschen Tëschefall: haalt sensibel Geschäftstermen aus Ressourcen-Nimm eraus, a notéiert d'Preisgabe an Ärem Risikoregister wann d'Nammsetzung méi verréid wéi Dir wëllt.

Wann d'Organisatioun eng privat Nammserfarung wëllt, kann eng privat gehostete Zone en Aliass ubidden, deen nëmmen an den assoziéierte VPCen opléist. Dat ännert den Numm deen d'Benotzer gesinn; et mécht den Numm dee vum Provider generéiert gëtt net geheim an et entfernt keen Netzwierkwee.

Probéiert net Adressen ze pinnen fir d'Äntwert ze verstoppen. Loadbalancer-Adressen änneren sech, Pinnen brécht TLS-Validéierungsgewunnechten, an d'Kontroll déi Dir wierklech braucht ass wien d'Verbindung kann opbauen a wat d'Applikatioun vun hinnen verlangt. Kontrolléiert déi véier Fakten, schreift se op, an d'Fro ass net méi zweideuteg.