आन्तरिक ALB, सार्वजनिक DNS नाम: के यो साँच्चै खुला छ?

आन्तरिक लोड ब्यालेन्सरविरुद्ध सार्वजनिक DNS खोजी चलाउनुहोस् र तपाईंलाई निजी ठेगाना फर्किन सक्छ, जुन रेकर्ड केका लागि हो जाँच्नुअघिसम्म गलत कन्फिगरेसनजस्तो देखिन्छ। AWS ले आन्तरिक लोड ब्यालेन्सरका नामहरू सार्वजनिक रूपमा समाधानयोग्य हुन सक्ने, तर तिनका नोडहरूले मात्र निजी ठेगाना राख्ने कुरा अभिलेख गर्छ। रिजोल्भरले सेवा कहाँ छ भन्यो; यसले कुनै बाटो बनाएन, सुरक्षा समूह खोलेन र कसैलाई प्रमाणित गरेन। त्यो जवाफ समस्या हो कि होइन भन्ने तपाईंले क्रममा जाँच्न सक्ने तथ्यहरूमा निर्भर छ।

पहिलो चरण: स्किम पढ्नुहोस्, IP होइन

स्किम फिल्ड लोड ब्यालेन्सरको आफ्नै सीमाबारेको भनाइ हो। aws elbv2 describe-load-balancers --names app-internal ले internal वा internet-facing मान भएको Scheme फर्काउँछ, साथै IPv4 वा दोहोरो स्ट्याकका लागि ठेगाना प्रकार। इन्टरनेटतर्फ उन्मुख लोड ब्यालेन्सरले निजी लक्ष्यतर्फ अगाडि बढाउन सक्छ, त्यसैले निजी ब्याकएन्ड ठेगाना देख्नुले अगाडिको भागबारे केही प्रमाणित गर्दैन।

अरू केही हेर्नुअघि स्किम लेख्नुहोस्, किनकि पछिको हरेक निर्णय त्यसमा निर्भर छ। यसले कुन नियन्त्रणहरू छन् पनि बताउँछ, सुरक्षा समूह र लिसनर नियमदेखि त्यो लोड ब्यालेन्सर प्रकारका सुविधासम्म। पुरानो कन्सोल स्क्रिनसटबाट प्रतिलिपि गरिएको स्किम कुनै टिप्पणी नभएभन्दा नराम्रो हो। यसलाई API बाट फेरि पढ्नुहोस् र मान टिकटमा टाँस्नुहोस्।

दोस्रो चरण: नाम केमा समाधान हुन्छ हेर्नुहोस्

VPC बाहिरबाट dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com प्रयोग गरी सोध्नुहोस् र जवाफहरू 10.0.0.0/8, 172.16.0.0/12 वा 192.168.0.0/16 मा छन् कि छैनन् नोट गर्नुहोस्। सार्वजनिक रिजोल्भरबाट निजी जवाफ आन्तरिक लोड ब्यालेन्सर नामका लागि अपेक्षित व्यवहार हो; ठेगाना इन्टरनेटबाट मार्गीय छ भन्ने प्रमाण होइन।

त्यही नाम VPC भित्रबाट समाधान गर्नुहोस् र तुलना गर्नुहोस्। दुई जवाफ फरक भए तपाईं स्प्लिट-होराइजन नामकरण हेर्दै हुनुहुन्छ, र त्यो फरक डिजाइनको विवरण हो, चुहावट होइन।

तेस्रो चरण: त्यहाँ पुग्न सक्ने बाटोहरू सूचीबद्ध गर्नुहोस्

निजी ठेगाना जहाँ बाटो र सुरक्षा नियम छ त्यहाँबाट पुग्न सकिन्छ। तिनलाई जानाजानी सूचीबद्ध गर्नुहोस्: साइट-टु-साइट VPN, क्लाइन्ट VPN, VPC पियरिङ, ट्रान्जिट गेटवे जडान, Direct Connect र VPC भित्रको कुनै पनि प्रोक्सी वा बास्टियन। तीमध्ये एउटा इच्छित बाटो हो, र बाँकी आक्रमणकारीले खोज्ने बाटोहरू हुन्।

त्यसपछि प्रत्येक बाटोका नियन्त्रण जाँच्नुहोस्: लोड ब्यालेन्सरमा सुरक्षा समूह, सबनेटमा नेटवर्क ACL र बाटो अस्तित्वमा राख्ने राउटिङ। खुला आन्तरिक सेवाका अधिकांश रिपोर्ट गरिएका घटना यहीँ समाधान हुन्छन्, या त अनपेक्षित पियरिङ थियो वा बाटो इच्छित थियो र एप्लिकेसनमा प्रमाणीकरण थिएन।

चौथो चरण: लिसनर र एप्लिकेसन अलग-अलग जाँच्नुहोस्

सेवासम्म पुग्नु नपर्ने नेटवर्कबाट जोडिन प्रयास गर्नुहोस् र तपाईंले सक्नुहुन्न भनी पुष्टि गर्नुहोस्। त्यसपछि पुग्नुपर्ने नेटवर्कबाट प्रयास गर्नुहोस् र लिसनरसम्म पुग्नुहुन्छ भनी पुष्टि गर्नुहोस्। यी दुई नतिजाले नेटवर्क पहुँचलाई एप्लिकेसन व्यवहारबाट अलग गर्छन्, र खुलापनको प्रश्नका लागि महत्त्वपूर्ण एकमात्र प्रमाण तिनी हुन्।

पुग्न सकिने लिसनर पहुँचयोग्य एप्लिकेसन जस्तै होइन। TLS प्रमाणपत्र र प्रोटोकल नीति, त्यसपछि एप्लिकेसनको आफ्नै प्रमाणीकरण र अधिकार जाँच्नुहोस्। कर्पोरेट VPN मा जोसुकै कलरलाई स्वीकार गर्ने आन्तरिक उपकरण त्यो VPN मा रहेका हरेक सम्झौता भएको ल्यापटपसामु खुला छ, जुन इन्टरनेटतर्फ उन्मुखभन्दा फरक जोखिम हो, तर अझै जोखिम हो।

नियन्त्रणहरू प्रकारअनुसार फरक हुन्छन् भन्ने सम्झनुहोस्। एप्लिकेसन-तह फायरवाल एउटा लोड ब्यालेन्सर परिवारमा जोडिन्छ, अर्कोमा होइन, त्यसैले समानता मान्नुको सट्टा तपाईंअगाडिको स्किम र प्रकारका लागि वास्तवमा के उपलब्ध छ पुष्टि गर्नुहोस्।

पाँचौँ चरण: नामलाई नै महत्त्व छ कि छैन निर्णय गर्नुहोस्

सार्वजनिक समाधानयोग्यताले सेवाको नाम, क्षेत्र र ठेगाना दायरा खुलासा गर्न सक्छ। यसलाई नीतिगत जवाफ भएको सूचना खुलासाको प्रश्नका रूपमा लिनुहोस्, स्वचालित घटनाका रूपमा होइन: संवेदनशील व्यावसायिक शब्दहरू स्रोत नामबाट बाहिर राख्नुहोस्, र नामकरण परम्पराले तपाईंको इच्छाभन्दा बढी खुलासा गर्छ भने जोखिम अभिलेखमा खुलासा नोट गर्नुहोस्।

यदि संस्थाले निजी नामकरण अनुभव चाहन्छ भने, निजी होस्टेड जोनले सम्बन्धित VPC भित्र मात्र समाधान हुने उपनाम दिन सक्छ। यसले प्रयोगकर्ताले देख्ने नाम बदल्छ; यसले प्रदायकले बनाएको नाम गोप्य बनाउँदैन र कुनै नेटवर्क बाटो हटाउँदैन।

जवाफ लुकाउन ठेगाना पिन गर्ने प्रयास नगर्नुहोस्। लोड ब्यालेन्सरका ठेगाना बदलिन्छन्, पिनिङले TLS प्रमाणीकरणका बानी तोड्छ, र तपाईंलाई साँच्चै चाहिने नियन्त्रण भनेको कसले जडान स्थापना गर्न सक्छ र एप्लिकेसनले तिनीहरूबाट के माग्छ भन्ने हो। चार तथ्य जाँच्नुहोस्, लेख्नुहोस्, र प्रश्न अस्पष्ट रहँदैन।