Alibaba CloudはECSをSLBロードバランサーからのみアクセスできるように設定しています

クズども · 掲載地 2020/07/18 17:36:52

需要

バックエンドのサービスポートは、ユーザーが直接アクセスできず、例えば80、443:3389などで、アリババクラウドのSLBロードバランサー経由でのみアクセス可能です。 ECSはパブリックネットワークの転送と負荷にSLBを使用しているため、ユーザーはECSパブリックネットワークアドレスにアクセスする必要がありません。そのため、セキュリティグループルールはユーザーがECSアドレスに直接アクセスできないように設定されています。

解決：

ロードバランサーのIPアドレスブロックである100.64.0.0/10(10.64.0.0/10はアリババクラウドの予約アドレスであり、他のユーザーをこのネットワークブロックに割り当てることができないため、セキュリティリスクはありません)およびAnti-ProのIPアドレスブロックはセキュリティリスクではありません。

参考住所:

ハイパーリンクのログインが見えます。
ハイパーリンクのログインが見えます。

100.64で始まるIPアドレスはアドレスブロック100.64.0.0/10に対応し、アドレス範囲は100.64.0.0~100.127.255.255で、合計4,194,304のIPアドレスを含みます。この予約アドレスはイントラネットにも使われますが、このイントラネットは一般的なイントラネットではなくキャリアグレードNATであり、英語での対応する翻訳は「carrier-grade NAT」となります。さらに調べたところ、2012年4月のRFC 6598(IANA-Reserved IPv4 Prefix for Shared Address Space)がキャリアISP向けに100.64.0.0/10(共有アドレス空間)アドレスブロックを使用していることが判明しました。

NetRange:    100.64.0.0 - 100.127.255.255
CIDR:          100.64.0.0/10
OriginAS:
NetName:       SHARED-ADDRESS-SPACE-RFCTBD-IANA-RESERVED
NetHandle:    NET-100-64-0-0-1
Parent:       NET-100-0-0-0-0
NetType:       IANA Special Use

手記：まずSLBにECSへのアクセスを許可し(優先度1)、その後に他の接続を拒否する汎用ルール(優先度2)を作成する必要があります。

Alibaba CloudはECSをSLBロードバランサーからのみアクセスできるように設定しています

関連記事

閲覧したセクション