Ichki ALB va ochiq DNS nomi: u haqiqatan ochiqmi?
Ochiq resolver ichki AWS yuk balanslagichi uchun xususiy manzillarni qaytarishi mumkin. Uni ochiq deb atashdan oldin sxema, yo'llar va listener-ni tekshiring.
Ichki yuk balanslagichiga qarshi ochiq DNS so'rovi yuboring va sizga xususiy manzil qaytishi mumkin; bu yozuv nima uchun ekanini tekshirmaguningizcha noto'g'ri konfiguratsiyaga o'xshaydi. AWS ichki balanslagich nomlari ochiq tarzda hal qilinishi mumkinligini, ammo ularning tugunlari faqat xususiy manzillarni saqlashini hujjatlashtiradi. Resolver xizmat qayerda ekanini javob berdi; u yo'l yaratmadi, xavfsizlik guruhini ochmadi va hech kimni autentifikatsiya qilmadi. Bu javob muammomi yoki yo'qmi, ketma-ket tekshirishingiz mumkin bo'lgan faktlarga bog'liq.
Birinchi qadam: IP emas, sxemani o'qing
Sxema maydoni balanslagichning o'z chegarasi haqidagi o'z bayonoti. aws elbv2 describe-load-balancers --names app-internal internal yoki internet-facing qiymatiga ega Scheme qaytaradi, shuningdek IPv4 yoki qo'sh stek uchun manzil turini. Internetga qaragan balanslagich ham xususiy maqsadlarga uzatishi mumkin, shuning uchun xususiy backend manzillarini ko'rish old tomon haqida hech narsani isbotlamaydi.
Boshqa narsaga qarashdan oldin sxemani yozib qo'ying, chunki har bir keyingi baho unga bog'liq. U qanday boshqaruvlar borligini ham aytadi: xavfsizlik guruhlari va listener qoidalaridan tortib o'sha balanslagich turining funksiyalarigacha. Eski konsol skrinshotidan ko'chirilgan sxema hech qanday eslatmadan ham yomonroq. Uni API-dan qayta o'qing va qiymatni ticketga joylashtiring.
Ikkinchi qadam: nom nimaga hal bo'lishini ko'ring
VPC tashqarisidan dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com bilan so'rang va javoblar 10.0.0.0/8, 172.16.0.0/12 yoki 192.168.0.0/16 da ekanini qayd eting. Ochiq resolverdan xususiy javob ichki balanslagich nomi uchun kutilgan xatti-harakat; bu manzil internetdan marshrutlanadi degan dalil emas.
Xuddi shu nomni VPC ichidan hal qiling va solishtiring. Agar ikki javob farq qilsa, siz split-horizon nomlashni ko'ryapsiz, va bu farq dizayn detali, oqish emas.
Uchinchi qadam: unga yetib boradigan yo'llarni sanang
Xususiy manzil yo'l va xavfsizlik qoidasi mavjud har bir joydan yetib boriladi. Ularni ataylab sanang: sayt-sayt VPN, mijoz VPN, VPC peering, transit gateway ulanishlari, Direct Connect va VPC ichidagi har qanday proxy yoki bastion. Ulardan biri mo'ljallangan yo'l, qolganlari esa tajovuzkor qidiradigan yo'llar.
So'ngra har bir yo'ldagi boshqaruvlarni tekshiring: balanslagichdagi xavfsizlik guruhlari, subnetlardagi tarmoq ACL va yo'lni yaratadigan marshrutlash. Ochiq ichki xizmat haqidagi ko'p xabar qilingan holatlar shu yerda hal bo'ladi: yoki ko'zda tutilmagan peering bo'lgan, yoki yo'l mo'ljallangan va ilovada autentifikatsiya bo'lmagan.
To'rtinchi qadam: listener va ilovani alohida sinang
Xizmatga yetib bormasligi kerak bo'lgan tarmoqdan ulanishga urinib ko'ring va ulana olmasligingizni tasdiqlang. Keyin yetib borishi kerak bo'lganidan urinib ko'ring va listener-ga yetishingizni tasdiqlang. Bu ikki natija tarmoq yetib borishini ilova xatti-harakatidan ajratadi va ochiqlik savoli uchun muhim bo'lgan yagona dalil.
Yetib boriladigan listener yetib boriladigan ilova bilan bir xil emas. TLS sertifikati va protokol siyosatini, so'ngra ilovaning o'z autentifikatsiyasi va avtorizatsiyasini tekshiring. Korporativ VPNda har qanday qo'ng'iroq qiluvchini qabul qiladigan ichki vosita o'sha VPNdagi har bir buzilgan noutbukka ochiq, bu internetga qaraganidan boshqa xavf, ammo baribir xavf.
Boshqaruvlar turga qarab farq qilishini unutmang. Ilova qatlami xavfsizlik devorlari balanslagichlarning bir oilasiga ulanadi, ikkinchisiga emas, shuning uchun tenglikni taxmin qilish o'rniga oldingizdagi sxema va tur uchun aslida nima mavjudligini tasdiqlang.
Beshinchi qadam: nomning o'zi muhimmi yoki yo'qmi, qaror qiling
Ochiq hal qilinish xizmat nomi, mintaqa va manzillar diapazonini oshkor qilishi mumkin. Bunga siyosiy javobga ega axborot oshkorligi savoli sifatida qarang, avtomatik hodisa sifatida emas: nozik biznes atamalarini resurs nomlaridan tashqarida saqlang va nomlash konventsiyasi siz xohlagandan ko'proq oshkor qilsa, oshkorlikni xavf daftaringizga yozing.
Agar tashkilot xususiy nomlash tajribasini xohlasa, xususiy hosted zona faqat bog'langan VPClar ichida hal qilinadigan taxallus taqdim etishi mumkin. Bu foydalanuvchilar ko'radigan nomni o'zgartiradi; provayder yaratgan nomni sir qilmaydi va hech qanday tarmoq yo'lini olib tashlamaydi.
Javobni yashirish uchun manzillarni pin qilishga urinmang. Balanslagich manzillari o'zgaradi, pin qilish TLS tekshiruv odatlarini buzadi va sizga haqiqatan kerak bo'lgan boshqaruv kim ulanish o'rnatishi va ilova ulardan nima talab qilishidir. To'rt faktni tekshiring, yozing, va savol endi noaniq emas.