Elastic Compute Service:Gunakan PrivateLink untuk mengurangi komunikasi jaringan publik yang tidak perlu

Risiko eksposur jaringan publik

Layanan yang diekspos ke jaringan publik—baik database yang dibangun sendiri, aplikasi inferensi AI, maupun layanan Alibaba Cloud seperti Object Storage Service (OSS)—menghadapi tiga kategori risiko:

• Serangan DDoS dan kerentanan. Setiap layanan yang menghadap internet menjadi sasaran serangan DDoS, pemindaian kerentanan, dan upaya login brute-force.

• Pemalsuan identitas. Layanan internet tradisional mengandalkan kredensial untuk autentikasi. Kredensial yang bocor memungkinkan penyerang menyamar sebagai pengguna sah dari mana saja di dunia, tanpa cara membatasi jaringan asal permintaan tersebut.

• Eksfiltrasi data. Karyawan dapat menggunakan akun pribadi untuk mengunggah data perusahaan melalui endpoint publik layanan Alibaba Cloud seperti OSS. Karena traffic melewati jaringan publik, kebijakan jaringan perusahaan tidak dapat mencegatnya.

Manfaat yang diberikan PrivateLink

Menggunakan PrivateLink untuk menggantikan endpoint publik mengatasi masing-masing risiko tersebut:

Konfigurasi penyedia layanan

1. Buat load balancer. Di VPC2, buat instans Classic Load Balancer (CLB) atau NLB privat. Konfigurasikan grup server backend dan pendengar.

2. Buat layanan endpoint. Di konsol PrivateLink, buat layanan endpoint dan kaitkan dengan load balancer yang dibuat pada langkah sebelumnya.

3. Konfigurasikan daftar izin (hanya lintas-akun). Jika VPC1 milik Akun Alibaba Cloud yang berbeda, tambahkan UID akun konsumen ke daftar izin layanan endpoint.

4. Terima permintaan koneksi. Setelah konsumen membuat endpoint, permintaan koneksi muncul di tab Connections layanan endpoint. Terima permintaan tersebut, atau konfigurasikan layanan endpoint agar menerima koneksi secara otomatis.

Konfigurasi konsumen layanan

1. Buat endpoint. Di VPC1, buat endpoint dan pilih layanan endpoint yang dibuat di sisi penyedia.

2. Konfigurasikan akses jaringan. Tetapkan vSwitch dan security group di VPC1 ke endpoint. Hal ini mengontrol sumber daya mana di VPC1 yang dapat mengakses endpoint.

3. Ambil detail endpoint. Setelah endpoint dibuat, nama domain pribadi dan alamat IP pribadi akan dihasilkan.

4. Mulai mengirim traffic. Setelah penyedia layanan menerima koneksi, aplikasi di VPC1 dapat menggunakan nama domain pribadi atau alamat IP untuk mengakses layanan di VPC2.

Untuk panduan langkah demi langkah, lihat Akses layanan Alibaba Cloud melalui jaringan pribadi.

Langkah 1: Aktifkan Proxy Protocol v2 pada pendengar NLB

Gunakan Alibaba Cloud CLI untuk mengaktifkan Proxy Protocol v2 dan berlangganan bidang ID VPC dan ID endpoint:

aliyun nlb UpdateListenerAttribute \
     --ListenerId lsn-xxxxxxxxxxxxxxxx \
     --ProxyProtocolEnabled true \
     --ProxyProtocolV2Config '{"Ppv2VpcIdEnabled":true,"Ppv2PrivateLinkEpIdEnabled":true}' \
     --RegionId cn-hangzhou

Setelah diaktifkan, NLB menambahkan header biner Proxy Protocol v2 di awal setiap koneksi TCP baru. Header tersebut mencakup bidang alamat standar dan dua ekstensi TLV kustom:

Rincian header TLV:

Langkah 2: Konfigurasikan NGINX untuk mengurai Proxy Protocol v2

NGINX Plus R16 atau versi lebih baru (dan NGINX open-source 1.13.11 atau lebih baru) mendukung Proxy Protocol v2. Konfigurasi pendengar standar adalah:

server {
    listen 80 proxy_protocol;   # Aktifkan Proxy Protocol v1/v2
    # Konfigurasi lainnya...
}

Dengan konfigurasi ini, NGINX secara otomatis mengurai header Proxy Protocol dan mengekstrak IP klien. Namun, build NGINX standar tidak memproses bidang TLV kustom Alibaba Cloud (ID VPC dan ID endpoint). Gunakan ekstensi Lua untuk mengekstrak nilai-nilai tersebut.

Blok nginx.conf berikut membaca dan mengurai seluruh header Proxy Protocol v2, termasuk bidang TLV kustom, sebelum meneruskan traffic ke lapisan HTTP:

stream {
  server{
  listen 80;  -- Jangan aktifkan proxy_protocol. Biarkan kode Lua di bawah ini yang menanganinya.
  preread_by_lua_block {
     -- 1. Baca header protokol tetap sepanjang 16 byte
     local sock = ngx.req.socket(true)
     local header, err = sock:receive(16)

     if not header then
        ngx.log(ngx.ERR, "gagal menerima header proxy protocol: ", err)
        return
     end

     -- 2. Verifikasi signature protokol (12 byte pertama)
     if string.sub(header, 1, 12) ~= "\x0D\x0A\x0D\x0A\x00\x0D\x0A\x51\x55\x49\x54\x0A" then
         -- Bukan header Proxy Protocol; kembalikan data agar permintaan tidak rusak
          sock:setreused(header)
                return
    end

    -- 3. Uraikan bidang header tetap
    local ver_cmd = string.byte(header, 13) -- Versi dan perintah
    local family = string.byte(header, 14) -- Family alamat dan protokol
    local len = string.byte(header, 15) * 256 + string.byte(header, 16) -- Panjang bagian variabel
    if len == 0 then
       -- Tidak ada data alamat atau TLV
       return
    end

    -- 4. Baca bagian panjang variabel (info alamat + bidang TLV)
    local variable_part, err = sock:receive(len)
    if not variable_part or #variable_part < len then
       ngx.log(ngx.ERR, "gagal membaca bagian variabel (alamat + tlvs): ", err)
       return
    end

    -- 5. Tentukan panjang blok alamat berdasarkan family alamat
    local addr_len = 0
    local protocol = family & 0x0F
    local address_family = family >> 4

    if address_family == 1 then -- AF_INET (IPv4)
        addr_len = 12
    elseif address_family == 2 then -- AF_INET6 (IPv6)
        addr_len = 36
    elseif address_family == 3 then -- AF_UNIX
        addr_len = 216
    end

    -- 6. Pisahkan blok alamat dan data TLV
    local address_block = string.sub(variable_part, 1, addr_len)
    local tlv_string = string.sub(variable_part, addr_len + 1)

    -- 7. Uraikan data TLV ke dalam tabel
    local tlvs = {}
    local pos = 1
    while pos <= #tlv_string do
        if pos + 2 > #tlv_string then
            ngx.log(ngx.ERR, "data TLV tidak sesuai format: byte tidak cukup untuk tipe dan panjang")
            break
        end

        local tlv_type = string.byte(tlv_string, pos)
        local tlv_length = string.byte(tlv_string, pos + 1) * 256 + string.byte(tlv_string, pos + 2)

        if pos + 2 + tlv_length > #tlv_string then
            ngx.log(ngx.ERR, "data TLV tidak sesuai format: panjang melebihi data yang tersedia")
            break
        end

        local tlv_value = string.sub(tlv_string, pos + 3, pos + 2 + tlv_length)

        table.insert(tlvs, {
            type = tlv_type,
            length = tlv_length,
            -- Encode nilai biner dalam Base64 untuk penyimpanan dan inspeksi
            value = ngx.encode_base64(tlv_value)
         })
         pos = pos + 3 + tlv_length
   end

   -- 8. Simpan TLV yang telah diurai dalam ngx.ctx untuk diakses oleh lapisan HTTP
   if #tlvs > 0 then
       ngx.ctx.proxy_protocol_tlvs = tlvs
   end
   }
   proxy_pass localhost:8080;   -- Teruskan permintaan HTTP berikutnya ke server HTTP
   }
}

http {
    server {
        listen 8080;

        -- Terapkan pemeriksaan ID endpoint pada permintaan /login
        location /login {
            access_by_lua_block {
                local expected_value = "some value"
                -- Ambil ID endpoint PrivateLink dari TLV2 (di-encode Base64)
                local privateLinkEndId = ngx.var.pp_tlv2_value

                -- Tolak permintaan jika ID endpoint tidak cocok
                if received_value ~= expected_value then
                    ngx.log(ngx.ERR, "Akses ke /login ditolak: nilai TLV tidak cocok. Diharapkan '",
                            expected_value, "', diterima '", received_value, "'")
                    return ngx.exit(ngx.HTTP_FORBIDDEN)
                end
                -- Verifikasi berhasil; lanjutkan pemrosesan
            }

            -- Teruskan permintaan yang telah diverifikasi ke backend
            proxy_pass http://your_python_backend;
        }

        -- Tangani semua permintaan lainnya
        location / {
            proxy_pass http://your_python_backend;
        }
    }

    upstream your_python_backend {
        server 127.0.0.1:5000;
    }
}

Ganti some value dengan ID endpoint PrivateLink aktual yang harus diterima layanan Anda. Permintaan dengan ID endpoint yang tidak cocok atau tidak ada akan menerima respons HTTP 403.

Aktifkan log aliran VPC

Aktifkan fitur log aliran untuk VPC tempat beban kerja inti Anda berjalan. Kirim log tersebut ke Simple Log Service.

Identifikasi traffic jaringan publik

Di Simple Log Service, kueri log aliran VPC dan filter traffic arah keluar (direction = out). Kemudian persempit hasilnya:

• Filter paket respons. Kecualikan traffic dengan port tujuan di bawah 1024 dan traffic lain yang merupakan bagian dari respons layanan normal. Hal ini mengurangi kebisingan dari balasan arah keluar.

• Identifikasi alamat IP publik Alibaba Cloud. Cari kepemilikan alamat IP tujuan (dstaddr) menggunakan alat seperti ipip.net. Fokus pada alamat IP publik yang dimiliki oleh Alibaba Cloud.

• Temukan instans sumber. Gunakan bidang vm-id dalam log aliran untuk mengidentifikasi instans ECS yang memulai setiap koneksi.

Interpretasi hasil