El control de acceso de ALB proporciona un filtrado detallado para las solicitudes de cliente mediante listas de permitidos y listas de bloqueados de IP en los listeners. Puede crear una lista de control de acceso (ACL), agregar entradas de IP y asociar la ACL con un listener para permitir o denegar tráfico desde orígenes específicos.
La edición extensible de ALB no admite el control de acceso.
ACL frente a security groups
ALB ofrece dos métodos de control de acceso: listas de control de acceso (ACL) y security groups.
|
Elemento |
ACL |
Security group de ALB |
|
Granularidad del control |
Basada en la IP de origen. Se aplica a listeners individuales. |
Basada en la IP de origen, protocolo y puerto. Se aplica a toda la instancia de ALB. |
|
Compatibilidad con IPv6 |
No compatible. Solo puede agregar entradas IPv4. |
Admite direcciones IPv4 e IPv6. |
|
Comportamiento predeterminado |
En el modo de lista de permitidos, se deniegan las solicitudes de direcciones IP que no están en la ACL. En el modo de lista de bloqueados, se permiten las solicitudes de direcciones IP que no están en la ACL. |
Permite todo el tráfico de forma predeterminada. Debe agregar explícitamente una regla de denegación para 0.0.0.0/0 con el fin de restringir el acceso. |
|
Casos de uso |
Útil para listas simples de permitidos y bloqueados por IP. Este método es fácil de configurar y no requiere comprender la prioridad de las reglas. |
Escenarios que requieren control a nivel de puerto, compatibilidad con IPv6 o control de ICMP. |
Requisitos previos
Cuenta con created an ALB instance y configured a listener.
Crear una ACL
Una lista de control de acceso (ACL) es un conjunto de entradas de IP. Una vez que crea una ACL y agrega entradas, puede asociarla con un listener para implementar un control de acceso mediante lista de permitidos o lista de bloqueados.
Consola
Vaya a la página Access Control en la consola de ALB. En la barra de navegación superior, seleccione la región donde se despliega la instancia de destino y luego haga clic en Create ACL.
En el cuadro de diálogo Create ACL, introduzca un nombre para la ACL y luego haga clic en OK.
-
Después de crear la ACL, en la página Access Control, haga clic en el ID de la ACL de destino para abrir su página de detalles. En la pestaña Entry, agregue entradas de IP de una de las siguientes maneras:
Agregar una sola entrada: Haga clic en Add Entry. En el cuadro de diálogo, introduzca un IP/CIDR Block y las Remarks, y luego haga clic en Add.
-
Agregar entradas por lotes: Haga clic en Add ACL Entries. Introduzca las entradas con el siguiente formato:
Introduzca una entrada por línea.
Use una barra vertical (|) para separar la dirección IP o el bloque CIDR de sus observaciones, por ejemplo, 192.168.1.0/24|test-remark.
Puede agregar hasta 20 entradas a la vez.
Si el lote contiene una entrada que ya existe en la ACL, la operación de adición por lotes fallará. Elimine las entradas duplicadas y envíe el lote nuevamente.
Después de agregar entradas, puede eliminarlas o exportarlas desde la lista de entradas.
API
Llame a CreateAcl para crear una ACL.
Llame a AddEntriesToAcl para agregar entradas de IP.
Llame a RemoveEntriesFromAcl para quitar entradas de IP.
Habilitar o deshabilitar el control de acceso
Puede configurar una lista de permitidos o una lista de bloqueados para un listener:
Lista de permitidos: Permite el acceso solo desde las direcciones IP incluidas en la ACL y deniega todas las demás solicitudes.
Lista de bloqueados: Deniega el acceso desde las direcciones IP incluidas en la ACL y permite todas las demás solicitudes.
Independientemente de si configura una lista de permitidos o de bloqueados, si la ACL asociada no contiene entradas de IP, el control de acceso no surte efecto y el listener reenvía todas las solicitudes. Antes de configurar una lista de permitidos, asegúrese de que la ACL contenga las direcciones IP que desea permitir para evitar interrupciones en el servicio.
Consola
Vaya a la página Instances en la consola de ALB. En la barra de navegación superior, seleccione la región donde se despliega la instancia de destino y luego haga clic en el ID de la instancia.
-
En la pestaña Listener, localice el listener de destino. En la columna Access Control, haga clic en Enable o en Close.
Enable: En el cuadro de diálogo, seleccione un Access Control Mode (Whitelist o Blacklist) y una ACL, y luego haga clic en Save.
Close: En el cuadro de diálogo de confirmación, haga clic en OK.
También puede habilitar o deshabilitar el control de acceso en la sección Access Control de la página de detalles del listener.
API
Llame a AssociateAclsWithListener para asociar una ACL con un listener.
Llame a DissociateAclsFromListener para desasociar una ACL de un listener.
Preguntas frecuentes
La lista de permitidos no surte efecto
Causa: La ACL no está asociada con el listener o la ACL no tiene entradas de IP. Una ACL vacía permite todo el tráfico.
Solución: En la pestaña Listener de la instancia de ALB, confirme que la columna Access Control del listener de destino muestre Enabled. Asimismo, confirme que la ACL asociada contenga entradas de IP.
No se puede agregar 0.0.0.0/0 a la lista de permitidos
Causa: Las ACL no admiten la entrada 0.0.0.0/0. La consola reportará un error de formato.
Solución: El método correcto consiste en disable access control y luego volver a habilitarlo cuando sea necesario.
La lista de bloqueados no surte efecto
Causa: Las solicitudes se reenvían a ALB a través de CDN o WAF. La IP de origen visible para ALB es la IP de origen del CDN o WAF, no la dirección IP real del cliente.
Solución: El control de acceso de ALB opera en la capa 4 y coincide con la dirección IP de origen en el paquete de solicitud. Cuando un proxy como CDN o WAF reenvía las solicitudes, la IP de origen corresponde a dicho proxy. Por lo tanto, una lista de bloqueados de ALB no puede bloquear la dirección IP del cliente. Configure la lista de bloqueados en la capa de WAF o CDN.
La lista de bloqueados no puede bloquear la IP de X-Forwarded-For
Causa: El control de acceso de ALB opera en la capa 4 y solo coincide con la dirección IP de origen en el paquete de solicitud. No analiza el encabezado HTTP X-Forwarded-For de la capa 7.
Solución: Puede implementar esto mediante una custom rule en WAF. Establezca Match Field en X-Forwarded-For, Logical Operator en Contains, Match Content en la dirección IP de destino y Rule Action en Block. Para obtener más información, consulte Configure match conditions for a custom rule.
Las reglas allow/deny de NGINX en el backend no surten efecto
Causa: Después de que el tráfico pasa por el proxy de ALB, el servidor backend recibe la IP local de la instancia de ALB (una dirección IP privada asignada desde el vSwitch donde reside la instancia de ALB) como IP de origen. Las reglas allow/deny de NGINX se basan en esta IP de origen y, por lo tanto, no pueden coincidir con la dirección IP del cliente.
Soluciones:
(Recomendado) Utilice la función de control de acceso de ALB para configurar una lista de permitidos o bloqueados de IP directamente en la capa de ALB.
En NGINX, obtain the real client IP address del encabezado de solicitud
X-Forwarded-Fory luego configure reglas allow/deny basadas en la dirección IP real.
Restricción de acceso por dominio o ruta
Descripción: Las ACL operan a nivel de listener y no pueden diferenciar por nombre de dominio o ruta. Cuando se habilita, una ACL afecta a todos los dominios asociados con el listener.
Solución alternativa: Para instancias de ALB estándar o con WAF habilitado, puede usar reglas de reenvío. En la condición de reenvío, configure condiciones de Domain Name/Path y SourceIp para Return Fixed Response (como 403) en las solicitudes coincidentes. La condición SourceIp de una sola regla de reenvío admite hasta cinco direcciones IP o bloques CIDR y no es compatible con el formato 0.0.0.0/x. Si tiene una gran cantidad de direcciones IP o utiliza una instancia básica de ALB, le recomendamos usar WAF. Puede crear una custom rule en WAF para combinar condiciones de host/ruta e IP para el control de acceso.
Bloqueo de direcciones IP de países extranjeros
Descripción: El control de acceso de ALB no proporciona una función de bloqueo geográfico y no puede identificar automáticamente el país de una dirección IP.
Solución alternativa: Puede agregar manualmente rangos de IP extranjeras conocidos a una lista de bloqueados, pero este método no se actualiza automáticamente y está sujeto a límites de entradas. Le recomendamos utilizar la función geo-blocking de WAF.
Control de acceso en escenarios de proxy multicapa
Cuando se despliega un proxy de capa 7 frente a una instancia de ALB, la función de control de acceso de ALB, que opera en la capa 4, solo puede ver la dirección IP de origen del proxy del salto anterior y no puede identificar la dirección IP real del cliente. Por lo tanto, debe configurar el control de acceso en la capa correcta. Tome como ejemplo un escenario donde WAF se conecta mediante un registro CNAME (Cliente → CDN → WAF → ALB → ECS). La dirección IP de origen y las recomendaciones de control de acceso para cada capa son las siguientes.
Las instancias de ALB con WAF habilitado utilizan un SDK para la protección. WAF no participa en el reenvío de tráfico, por lo que no hay un salto de IP de origen de WAF. Si no se despliega ningún proxy de capa 7, como CDN, frente a la instancia de ALB, el problema descrito en esta sección no aplica.
|
Capa |
IP de origen visible |
Recomendación de control de acceso |
|
WAF |
|
Configure listas de permitidos y bloqueados de IP en esta capa. Cuando se configura correctamente, WAF bloquea las solicitudes según la dirección IP real del cliente y también admite el bloqueo geográfico. |
|
ALB |
La IP de origen de WAF. |
Configure una lista de permitidos en la instancia de ALB para permitir el acceso solo desde WAF source IP ranges. Esto evita que los atacantes evadan WAF y accedan directamente a la dirección IP pública de la instancia de ALB. Puede ver los rangos de IP de origen de WAF en la página Access Management de la consola de WAF. |
|
ECS backend |
La dirección IP local de la instancia de ALB (una dirección IP privada asignada desde el vSwitch donde reside la instancia de ALB). |
Asegúrese de que el bloque CIDR de la IP local de la instancia de ALB no esté bloqueado por iptables u otro software de seguridad de terceros en las instancias ECS del backend. De lo contrario, fallarán tanto las comprobaciones de estado como el reenvío de solicitudes. |
Facturación
La función de control de acceso es gratuita. Para obtener más información sobre la facturación de las instancias de ALB, consulte ALB billing.
Cuotas
|
Elemento |
Edición |
Cuota |
|
Número de listeners que se pueden asociar con una ACL |
Básica/Estándar/WAF habilitado |
50 |
|
Número de ACL que se pueden asociar con un listener |
Básica/Estándar/WAF habilitado |
3 |
|
Número de ACL que se pueden crear en una región |
Básica/Estándar/WAF habilitado |
1000 |
|
Número de entradas que se pueden agregar a una ACL |
Básica/Estándar/WAF habilitado |
500 |
|
Número de entradas de ACL que se pueden asociar con una instancia de ALB |
Básica/Estándar/WAF habilitado |
800 |
|
Número de entradas de ACL que se pueden asociar con un listener |
Básica |
300 |
|
Estándar/WAF habilitado |
500 |
Estas cuotas son límites fijos y no se pueden aumentar. Para obtener más información, consulte ALB quotas and limits.