అంతర్గత ALB, పబ్లిక్ DNS పేరు: ఇది నిజంగా బహిర్గతమైందా?

అంతర్గత లోడ్ బ్యాలెన్సర్పై పబ్లిక్ DNS విచారణ నడిపిస్తే ప్రైవేట్ చిరునామా తిరిగి రావచ్చు; రికార్డు ఎందుకు ఉందో తనిఖీ చేసే వరకు ఇది తప్పు కాన్ఫిగరేషన్లా కనిపిస్తుంది. అంతర్గత లోడ్ బ్యాలెన్సర్ పేర్లు పబ్లిక్గా పరిష్కరించగలిగి ఉండవచ్చు, అయితే వాటి నోడ్లు ప్రైవేట్ చిరునామాలను మాత్రమే కలిగి ఉంటాయని AWS నమోదు చేస్తుంది. రిజాల్వర్ సేవ ఎక్కడ ఉందో సమాధానమిచ్చింది; అది మార్గాన్ని సృష్టించలేదు, భద్రతా సమూహాన్ని తెరవలేదు, ఎవరినీ ధృవీకరించలేదు. ఆ సమాధానం సమస్యా కాదా అనేది మీరు క్రమంగా తనిఖీ చేయగల వాస్తవాలపై ఆధారపడి ఉంటుంది.

మొదటి దశ: IP కాదు, స్కీమ్ చదవండి

స్కీమ్ ఫీల్డ్ అనేది లోడ్ బ్యాలెన్సర్ తన సరిహద్దు గురించి తన స్వంత ప్రకటన. aws elbv2 describe-load-balancers --names app-internal internal లేదా internet-facing విలువతో Scheme తిరిగి ఇస్తుంది, దానితో పాటు IPv4 లేదా డ్యూయల్ స్టాక్ కోసం చిరునామా రకం. ఇంటర్నెట్ వైపు ఉన్న లోడ్ బ్యాలెన్సర్ ప్రైవేట్ లక్ష్యాలకు పంపగలదు, కాబట్టి ప్రైవేట్ బ్యాకెండ్ చిరునామాలు చూడటం ముందు భాగం గురించి ఏమీ నిరూపించదు.

మరేదైనా చూసే ముందు స్కీమ్ను రాయండి, ఎందుకంటే తర్వాతి ప్రతి తీర్పు దానిపై ఆధారపడి ఉంటుంది. ఏ నియంత్రణలు ఉన్నాయో కూడా అది చెబుతుంది, భద్రతా సమూహాలు మరియు లిజనర్ నియమాల నుండి ఆ లోడ్ బ్యాలెన్సర్ రకం లక్షణాల వరకు. పాత కన్సోల్ స్క్రీన్షాట్ నుండి కాపీ చేసిన స్కీమ్ ఎటువంటి నోట్ లేకపోవడం కంటే చెడ్డది. దాన్ని API నుండి మళ్లీ చదివి విలువను టికెట్లో అతికించండి.

రెండో దశ: పేరు ఏమిటిగా పరిష్కరమవుతుందో చూడండి

VPC వెలుపల నుండి dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com తో అడగండి మరియు సమాధానాలు 10.0.0.0/8, 172.16.0.0/12 లేదా 192.168.0.0/16 లో ఉన్నాయా గుర్తించండి. పబ్లిక్ రిజాల్వర్ నుండి ప్రైవేట్ సమాధానం అంతర్గత లోడ్ బ్యాలెన్సర్ పేరుకు ఆశించిన ప్రవర్తన; చిరునామా ఇంటర్నెట్ నుండి మార్గీకరించదగినదని ఇది రుజువు కాదు.

అదే పేరును VPC లోపల నుండి పరిష్కరించి పోల్చండి. రెండు సమాధానాలు భిన్నమైతే, మీరు స్ప్లిట్-హొరైజన్ నామకరణం చూస్తున్నారు, ఆ తేడా డిజైన్ వివరం, లీక్ కాదు.

మూడో దశ: అది చేరుకోగల మార్గాలను జాబితా చేయండి

ప్రైవేట్ చిరునామా మార్గం మరియు భద్రతా నియమం ఉన్న ఎక్కడి నుండైనా చేరుకోగలదు. వాటిని ఉద్దేశపూర్వకంగా జాబితా చేయండి: సైట్-టు-సైట్ VPN, క్లయింట్ VPN, VPC పీరింగ్, ట్రాన్సిట్ గేట్వే అటాచ్మెంట్లు, Direct Connect మరియు VPC లోపల ఏదైనా ప్రాక్సీ లేదా బాస్టియన్. వాటిలో ఒకటి ఉద్దేశించిన మార్గం, మిగిలినవి దాడి చేసేవాడు వెతికే మార్గాలు.

తర్వాత ప్రతి మార్గంలోని నియంత్రణలను తనిఖీ చేయండి: లోడ్ బ్యాలెన్సర్పై భద్రతా సమూహాలు, సబ్నెట్లపై నెట్వర్క్ ACL, మరియు మార్గాన్ని ఏర్పాటు చేసే రూటింగ్. బహిర్గతమైన అంతర్గత సేవ యొక్క చాలా నివేదించబడిన సందర్భాలు ఇక్కడే పరిష్కరమవుతాయి, ఒకటి ఉద్దేశించని పీరింగ్ ఉంది లేదా మార్గం ఉద్దేశించినది మరియు అప్లికేషన్కు ధృవీకరణ లేదు.

నాలుగో దశ: లిజనర్ను మరియు అప్లికేషన్ను విడివిడిగా పరీక్షించండి

సేవను చేరుకోకూడని నెట్వర్క్ నుండి కనెక్ట్ చేయడానికి ప్రయత్నించి మీరు చేయలేరని నిర్ధారించండి. తర్వాత చేరుకోవలసిన దాని నుండి ప్రయత్నించి లిజనర్ను చేరుకుంటున్నారని నిర్ధారించండి. ఆ రెండు ఫలితాలు నెట్వర్క్ చేరువను అప్లికేషన్ ప్రవర్తన నుండి వేరు చేస్తాయి, బహిర్గత ప్రశ్నకు ముఖ్యమైన ఏకైక సాక్ష్యం అవే.

చేరుకోగల లిజనర్ యాక్సెస్ చేయగల అప్లికేషన్తో సమానం కాదు. TLS సర్టిఫికెట్ మరియు ప్రోటోకాల్ విధానం, తర్వాత అప్లికేషన్ యొక్క స్వంత ధృవీకరణ మరియు అధికారాన్ని తనిఖీ చేయండి. కార్పొరేట్ VPN పై ఏ కాలర్నైనా అంగీకరించే అంతర్గత సాధనం ఆ VPN లోని ప్రతి రాజీపడిన ల్యాప్టాప్కు బహిర్గతమవుతుంది, ఇది ఇంటర్నెట్ వైపు ఉన్న దానికంటే భిన్నమైన ప్రమాదం, కానీ ఇప్పటికీ ప్రమాదం.

నియంత్రణలు రకాన్ని బట్టి మారుతాయని గుర్తుంచుకోండి. అప్లికేషన్ పొర ఫైర్వాల్లు ఒక లోడ్ బ్యాలెన్సర్ కుటుంబానికి జోడించబడతాయి, మరొకదానికి కాదు, కాబట్టి సమానత్వాన్ని ఊహించే బదులు మీ ముందున్న స్కీమ్ మరియు రకానికి నిజంగా ఏమి అందుబాటులో ఉందో నిర్ధారించండి.

ఐదో దశ: పేరుకే ప్రాముఖ్యత ఉందా అని నిర్ణయించండి

పబ్లిక్ పరిష్కార సామర్థ్యం సేవ పేరు, ప్రాంతం మరియు చిరునామా పరిధిని బహిర్గతం చేయవచ్చు. దాన్ని విధాన సమాధానం ఉన్న సమాచార బహిర్గత ప్రశ్నగా పరిగణించండి, స్వయంచాలక సంఘటనగా కాదు: సున్నితమైన వ్యాపార పదాలను వనరుల పేర్ల నుండి దూరంగా ఉంచండి, నామకరణ సంప్రదాయం మీరు కోరుకున్నదానికంటే ఎక్కువ బహిర్గతం చేస్తే ప్రమాద నమోదులో బహిర్గతాన్ని నమోదు చేయండి.

సంస్థ ప్రైవేట్ నామకరణ అనుభవాన్ని కోరుకుంటే, ప్రైవేట్ హోస్ట్ చేసిన జోన్ సంబంధిత VPC లలోపు మాత్రమే పరిష్కరమయ్యే ఉపనామాన్ని అందించగలదు. అది వినియోగదారులు చూసే పేరును మారుస్తుంది; ప్రదాత సృష్టించిన పేరును రహస్యం చేయదు మరియు ఏ నెట్వర్క్ మార్గాన్ని తొలగించదు.

సమాధానాన్ని దాచడానికి చిరునామాలను పిన్ చేయడానికి ప్రయత్నించవద్దు. లోడ్ బ్యాలెన్సర్ చిరునామాలు మారుతాయి, పిన్నింగ్ TLS ధృవీకరణ అలవాట్లను బద్దలు కొడుతుంది, మరియు మీకు నిజంగా అవసరమైన నియంత్రణ ఎవరు కనెక్షన్ ఏర్పాటు చేయగలరు మరియు అప్లికేషన్ వారి నుండి ఏమి కోరుతుంది అనేది. నాలుగు వాస్తవాలను తనిఖీ చేసి రాయండి, ప్రశ్న ఇకపై అస్పష్టంగా ఉండదు.