Дотоод ALB, нийтийн DNS нэр: үнэхээр ил гарсан уу?

Дотоод ачааллын хуваарилагч руу нийтийн DNS асуулга явуулахад хувийн хаяг буцаж ирж болох бөгөөд энэ нь бичлэг юунд зориулагдсаныг шалгах хүртэл буруу тохиргоо мэт харагдана. AWS нь дотоод хуваарилагчийн нэрс нийтэд шийдэгдэх боломжтой боловч тэдгээрийн зангилаа зөвхөн хувийн хаяг хадгалдаг гэдгийг баримтжуулдаг. Resolver нь үйлчилгээ хаана байгааг хариулсан; тэр маршрут үүсгээгүй, аюулгүй байдлын бүлэг нээгээгүй, хэнийг ч баталгаажуулаагүй. Тэр хариулт асуудал мөн эсэх нь таны дарааллаар шалгаж болох баримтуудаас хамаарна.

Эхний алхам: IP биш, схемийг уншина уу

Схем талбар нь хуваарилагчийн өөрийн хил хязгаарын тухай мэдэгдэл юм. aws elbv2 describe-load-balancers --names app-internal нь internal эсвэл internet-facing утгатай Scheme буцаана, IPv4 эсвэл хос стект зориулсан хаягийн төрөлтэй хамт. Интернет рүү чиглэсэн хуваарилагч хувийн зорилт руу дамжуулж болзошгүй тул хувийн backend хаяг харах нь урд талын талаар юу ч нотолохгүй.

Өөр юу ч харахаас өмнө схемийг бичиж аваарай, учир нь дараагийн бүх дүгнэлт үүнээс хамаарна. Энэ нь ямар хяналтууд байгааг ч хэлнэ: аюулгүй байдлын бүлэг, listener-ийн дүрмээс эхлээд тухайн хуваарилагчийн төрлийн боломжууд хүртэл. Хуучин консолын дэлгэцийн зурагнаас хуулсан схем нь ямар ч тэмдэглэлгүй байснаас дор. API-аас дахин уншиж, утгыг тасалбарт буулгана уу.

Хоёр дахь алхам: нэр юу болж шийдэгдэхийг хараарай

VPC-ийн гаднаас dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com ашиглан асууж, хариултууд 10.0.0.0/8, 172.16.0.0/12 эсвэл 192.168.0.0/16 дотор байгаа эсэхийг тэмдэглэ. Нийтийн resolver-ээс хувийн хариулт нь дотоод хуваарилагчийн нэрэнд хүлээгдэж буй зан төлөв; хаягийг интернетээс маршрутлах боломжтой гэдгийг энэ нь нотлохгүй.

Мөн нэрийг VPC дотор шийдэж, харьцуул. Хоёр хариулт өөр байвал та split-horizon нэршил харж байна, энэ ялгаа нь дизайны дэлгэрэнгүй, алдагдал биш.

Гурав дахь алхам: хүрч болох замуудыг жагсаа

Хувийн хаяг нь маршрут болон аюулгүй байдлын дүрэм байгаа газар бүрээс хүрч болно. Тэдгээрийг зориуд жагсаа: сайт хоорондын VPN, клиентийн VPN, VPC peering, transit gateway холболт, Direct Connect болон VPC доторх аливаа proxy эсвэл bastion. Тэдгээрийн нэг нь зориулалтын зам, бусад нь халдлагачийн хайх замууд.

Дараа нь зам бүрийн хяналтыг шалга: хуваарилагч дээрх аюулгүй байдлын бүлэг, дэд сүлжээн дэх сүлжээний ACL, замыг үүсгэдэг маршрутлалт. Ил гарсан дотоод үйлчилгээний ихэнх тохиолдол энд шийдэгддэг: эсвэл санамсаргүй peering байсан, эсвэл зам зориулалтын байсан бөгөөд аппликейшнд баталгаажуулалт байгаагүй.

Дөрөв дэх алхам: listener болон аппликейшныг тус тусад нь турш

Үйлчилгээнд хүрэх ёсгүй сүлжээнээс холбогдож үзээд хүрч чадахгүйгээ батал. Дараа нь хүрэх ёстой сүлжээнээс оролдож, listener-т хүрч байгаагаа батал. Энэ хоёр үр дүн сүлжээний хүртээмжийг аппликейшны зан төлөвөөс тусгаарладаг бөгөөд ил гарах асуудалд чухал цорын ганц нотолгоо юм.

Хүрч болох listener нь хандах боломжтой аппликейшнтэй ижил биш. TLS сертификат болон протоколын бодлогыг, дараа нь аппликейшны өөрийн баталгаажуулалт, зөвшөөрлийг шалга. Корпорацийн VPN дээр дурын дуудагчийг хүлээж авдаг дотоод хэрэгсэл тухайн VPN дээрх эвдэрсэн бүх зөөврийн компьютерт нээлттэй бөгөөд энэ нь интернет рүү чиглэснээс өөр эрсдэл боловч эрсдэл хэвээр.

Хяналтууд төрлөөс хамаарч өөр өөр байдгийг сана. Аппликейшны түвшний галт хана нэг хуваарилагчийн гэр бүлд холбогддог, нөгөөд нь холбогддоггүй тул тэгш байдлыг таамаглахын оронд өмнө чинь байгаа схем болон төрлд үнэхээр юу боломжтойг батал.

Тав дахь алхам: нэр өөрөө чухал уу гэдгийг шийд

Нийтийн шийдэгдэх чадвар нь үйлчилгээний нэр, бүс, хаягийн хүрээг ил болгож болно. Үүнийг бодлогын хариулттай мэдээлэл ил болгох асуудал гэж үз, автомат тохиолдол гэж биш: мэдээллийн нууц бизнесийн нэр томьёог нөөцийн нэрсээс гадуур байлга, нэршил нь хүссэнээс илүүг илчилж байвал эрсдэлийн бүртгэлд ил болсныг тэмдэглэ.

Байгууллага хувийн нэршил хүсвэл хувийн hosted zone нь зөвхөн холбогдсон VPC дотор шийдэгдэх alias үйлчилж болно. Энэ нь хэрэглэгчдийн хардаг нэрийг өөрчилдөг; нийлүүлэгчийн үүсгэсэн нэрийг нууц болгодоггүй, сүлжээний замыг ч устгахгүй.

Хариултыг нуухын тулд хаягийг бэхлэхийг оролдож болохгүй. Хуваарилагчийн хаяг өөрчлөгддөг, бэхлэлт нь TLS шалгалтын дадлыг эвддэг, бодитоор хэрэгтэй хяналт нь хэн холболт үүсгэж чадах, аппликейшн тэднээс юу шаарддаг вэ гэдэг юм. Дөрвөн баримтыг шалгаж бичээрэй, асуулт хоёрдмол байхаа болино.