Dalam beberapa kasus, penyerang menggunakan Pemalsuan alamat IP untuk mengirimkan paket dengan alamat IP sumber yang dipalsukan. Hal ini membuat paket tampak berasal dari jaringan terpercaya. Mengaktifkan fitur Pemeriksaan Sumber/Tujuan pada elastic network interface (ENI) membantu mencegah serangan semacam ini dan meningkatkan keamanan jaringan.
Apa itu pemeriksaan sumber/tujuan
Ketika fitur Pemeriksaan Sumber/Tujuan diaktifkan untuk ENI, ENI hanya menerima paket-paket yang ditujukan ke alamat IP miliknya dan hanya mengirimkan paket-paket yang menggunakan alamat IP miliknya sebagai sumber. Sebaliknya, jika fitur ini dinonaktifkan, ENI tidak memverifikasi alamat IP dari paket-paket yang dikirim atau diterimanya.
Untuk terus meningkatkan keamanan dan stabilitas instans Elastic Compute Service (ECS), fitur ini akan diaktifkan secara default selama pembuatan instans atau ENI melalui rilis bertahap mulai 22 April 2025. Untuk informasi lebih lanjut, lihat pengumuman.
Manfaat mengaktifkan pemeriksaan sumber/tujuan
Mencegah Pemalsuan IP: Fitur ini mencegah potensi serangan pemalsuan alamat IP dengan memverifikasi bahwa alamat IP sumber dari sebuah paket sesuai dengan alamat IP perangkat yang mengirimkannya. Jika alamat IP sumber tidak cocok dengan alamat IP antarmuka, paket tersebut akan dibuang.
Tingkatkan Keamanan: Mengaktifkan Pemeriksaan Sumber/Tujuan mengurangi risiko transmisi data yang tidak sah. Ini sangat berguna ketika Anda tidak ingin server Anda bertindak sebagai titik perutean paket untuk layanan lain. Ketika Pemeriksaan Sumber/Tujuan diaktifkan, hanya lalu lintas yang ditujukan untuk server yang diproses. Ini membantu mencegah kerentanan keamanan potensial.
Jaga Stabilitas dan Efisiensi Jaringan: Fitur ini membantu mencegah masalah aliran data yang disebabkan oleh perutean yang salah. Ini menjaga stabilitas seluruh sistem jaringan dan meningkatkan pemanfaatan sumber daya jaringan.
Perlu dicatat bahwa Pemeriksaan Sumber/Tujuan saja tidak cukup untuk melindungi dari semua jenis ancaman jaringan. Sesuai kebutuhan, Anda dapat menggabungkan berbagai teknologi dan kebijakan untuk melindungi jaringan Anda dari berbagai serangan. Ini termasuk konfigurasi grup keamanan, ACL jaringan, enkripsi SSL/TLS, mekanisme verifikasi identitas, Perlindungan DDoS, dan cadangan data penting.
Wilayah yang didukung
Fitur Pemeriksaan Sumber/Tujuan hanya tersedia di beberapa wilayah. Di wilayah lain, fitur ini dinonaktifkan secara default.
Skenario di mana Anda mungkin perlu menonaktifkan pemeriksaan sumber/tujuan
Menonaktifkan Pemeriksaan Sumber/Tujuan diperlukan untuk konfigurasi jaringan khusus tertentu. Skenario umum meliputi hal berikut:
Skema Multi-ENI: Dalam instans dengan beberapa ENI, sebuah paket mungkin masuk melalui satu antarmuka jaringan (seperti eth1) dan keluar melalui yang lain (seperti eth0). Jika Pemeriksaan Sumber/Tujuan diaktifkan pada ENI primer, ini dapat memengaruhi aliran data ENI sekunder.
Setelah Anda menyambungkan ENI ke instans, Anda dapat mengonfigurasi Perutean berbasis kebijakan untuk menyelesaikan masalah ini. Untuk informasi lebih lanjut, lihat Konfigurasikan perutean berbasis kebijakan untuk ENI.
Translasi Alamat Jaringan: Ketika sebuah instans bertindak sebagai perangkat Translasi Alamat Jaringan (NAT), ia harus menerima paket dari instans lain dalam jaringan dan meneruskannya ke internet atau jaringan lain. Dalam hal ini, Anda harus menonaktifkan Pemeriksaan Sumber/Tujuan untuk memungkinkan lalu lintas lewat bebas.
Router: Ketika sebuah instans dikonfigurasi sebagai router, ia harus memproses semua lalu lintas yang melewatinya, bukan hanya paket yang dikirim langsung kepadanya. Dalam hal ini, Anda harus menonaktifkan Pemeriksaan Sumber/Tujuan untuk meneruskan paket dengan benar.
Load Balancer Kustom: Ketika sebuah server bertindak sebagai Server Load Balancer kustom, ia perlu menerima permintaan klien dan mendistribusikannya ke server backend yang berbeda. Dalam hal ini, Anda juga harus menonaktifkan Pemeriksaan Sumber/Tujuan untuk memungkinkan pola lalu lintas ini.
Titik Akhir VPN: Ketika sebuah instans digunakan sebagai server VPN, ia mungkin perlu memproses paket dari jaringan yang berbeda. Ini juga memerlukan Anda untuk menonaktifkan Pemeriksaan Sumber/Tujuan agar paket-paket ini dapat lewat.
Desain Arsitektur Jaringan Tingkat Lanjut: Untuk desain jaringan yang lebih kompleks, Anda mungkin juga perlu menonaktifkan Pemeriksaan Sumber/Tujuan untuk memenuhi persyaratan spesifik. Contohnya termasuk mengimplementasikan aturan shaping lalu lintas tertentu, mengintegrasikan solusi firewall khusus, atau melakukan pemantauan jaringan secara detail.
Atur fitur pemeriksaan sumber/tujuan untuk ENI
Aktifkan atau nonaktifkan pemeriksaan sumber/tujuan saat membuat ENI
Saat Anda membuat ENI, Anda dapat mengaktifkan atau menonaktifkan fitur Pemeriksaan Sumber/Tujuan. Jika skenario Anda bukan salah satu dari skenario di mana Anda mungkin perlu menonaktifkan Pemeriksaan Sumber/Tujuan, kami sarankan Anda mengaktifkan fitur ini untuk meningkatkan keamanan jaringan.
Buat ENI dengan instans
Saat Anda membeli instans ECS, Anda dapat mengaktifkan atau menonaktifkan Pemeriksaan Sumber/Tujuan untuk ENI (ENI primer dan sekunder) yang dibuat bersama instans. Untuk informasi lebih lanjut, lihat Buat Instans Menggunakan Wizard.
Beberapa Tipe Instans ECS tidak mendukung penyambungan ENI sekunder selama pembuatan instans. Anda dapat menyambungkannya secara terpisah setelah instans dibuat. Untuk informasi lebih lanjut, lihat Tipe Instans ECS yang Harus Dihentikan.
Saat Anda membeli instans, Anda dapat menyambungkan maksimal dua ENI: satu ENI primer (dicocokkan secara otomatis) dan satu ENI sekunder.
Buat ENI secara terpisah
Saat Anda membuat ENI mandiri, Anda dapat mengonfigurasi fitur Pemeriksaan Sumber/Tujuannya. Kemudian, Anda dapat menyambungkan ENI ke instans. Untuk informasi lebih lanjut, lihat Buat dan Gunakan ENI.
Anda juga dapat memanggil operasi CreateNetworkInterface. Atur parameter SourceDestCheck ke `true` untuk mengaktifkan Pemeriksaan Sumber/Tujuan, atau `false` untuk menonaktifkannya.
Ubah pemeriksaan sumber/tujuan untuk ENI
Setelah ENI dibuat, Anda dapat mengubah propertinya untuk mengaktifkan atau menonaktifkan fitur Pemeriksaan Sumber/Tujuan.
Ubah di Konsol
Pergi ke ECS Console - Elastic Network Interfaces.
Di bilah navigasi atas, pilih Wilayah dan Kelompok Sumber Daya.
Klik ID ENI target untuk membuka halaman detailnya.
Lihat status saat ini dari fitur Pemeriksaan Sumber/Tujuan dan ubah pengaturannya.
Ubah menggunakan API
Panggil operasi ModifyNetworkInterfaceAttribute. Atur parameter SourceDestCheck ke `true` untuk mengaktifkan Pemeriksaan Sumber/Tujuan untuk NetworkInterfaceId yang ditentukan, atau `false` untuk menonaktifkannya.
Setelah modifikasi berhasil, Anda dapat memanggil DescribeNetworkInterfaceAttribute untuk menanyakan properti dari NetworkInterfaceId yang ditentukan. Dalam tanggapan, parameter SourceDestCheck menunjukkan apakah Pemeriksaan Sumber/Tujuan diaktifkan. Nilai `true` menunjukkan bahwa fitur diaktifkan, dan nilai `false` menunjukkan bahwa fitur dinonaktifkan.