Server Load Balancer:Controle de acesso

Whitelist sem efeito

Causa: A ACL não está associada ao listener ou não possui entradas de IP. Uma ACL vazia permite todo o tráfego.

Solução: Na aba Listener da instância ALB, verifique se a coluna Access Control do listener alvo exibe Enabled. Confirme também se a ACL associada contém entradas de IP.

Impossível adicionar 0.0.0.0/0 à whitelist

Causa: ACLs não suportam a entrada 0.0.0.0/0. O console reportará um erro de formato.

Solução: O método correto consiste em desativar o controle de acesso e reativá-lo quando necessário.

Blacklist sem efeito

Causa: As requisições chegam ao ALB através de um CDN ou WAF. O IP de origem visível para o ALB é o IP do CDN ou WAF, e não o endereço IP real do cliente.

Solução: O controle de acesso do ALB opera na Camada 4 e corresponde ao endereço IP de origem no pacote de requisição. Quando as requisições são encaminhadas por um proxy como CDN ou WAF, o IP de origem é o do proxy. Portanto, uma blacklist do ALB não consegue bloquear o endereço IP do cliente. Configure a blacklist na camada do WAF ou CDN.

Blacklist não bloqueia o IP do X-Forwarded-For

Causa: O controle de acesso do ALB opera na Camada 4 e corresponde apenas ao endereço IP de origem no pacote de requisição. Ele não analisa o cabeçalho HTTP X-Forwarded-For da Camada 7.

Solução: Implemente isso usando uma regra personalizada no WAF. Defina Match Field como X-Forwarded-For, Logical Operator como Contains, Match Content como o endereço IP alvo e Rule Action como Block. Para mais informações, consulte Configurar condições de correspondência para uma regra personalizada.

Regras allow/deny do NGINX backend sem efeito

Causa: Após o tráfego passar pelo proxy do ALB, o servidor backend recebe o IP local da instância ALB (um endereço IP privado atribuído pelo vSwitch onde a instância reside) como IP de origem. As regras allow/deny do NGINX baseiam-se nesse IP de origem e, portanto, não conseguem corresponder ao endereço IP do cliente.

Soluções:

• (Recomendado) Utilize o recurso de controle de acesso do ALB para configurar uma whitelist ou blacklist de IP diretamente na camada do ALB.

• No NGINX, obtenha o endereço IP real do cliente a partir do cabeçalho de requisição X-Forwarded-For e configure as regras allow/deny com base no IP real.

Restringir acesso por domínio ou caminho

Descrição: As ACLs operam no nível do listener e não diferenciam por nome de domínio ou caminho. Quando ativada, uma ACL afeta todos os domínios associados ao listener.

Solução alternativa: Para instâncias ALB Standard ou com WAF habilitado, utilize regras de encaminhamento. Na condição de encaminhamento, configure as condições Domain Name/Path e SourceIp para Return Fixed Responses (como 403) nas requisições correspondentes. A condição SourceIp de uma única regra de encaminhamento suporta até cinco endereços IP ou blocos CIDR e não aceita o formato 0.0.0.0/x. Caso possua muitos endereços IP ou utilize uma instância ALB Basic, recomendamos o uso do WAF. Crie uma regra personalizada no WAF para combinar condições de host/caminho e IP para controle de acesso.

Bloquear endereços IP de outros países

Descrição: O controle de acesso do ALB não oferece recurso de bloqueio geográfico e não identifica automaticamente o país de um endereço IP.

Solução alternativa: Adicione manualmente faixas de IP estrangeiras conhecidas a uma blacklist, mas esse método não é atualizado automaticamente e está sujeito a limites de entradas. Recomendamos utilizar o recurso de bloqueio geográfico do WAF.