Server Load Balancer:Access control

Lista de permissões sem efeito

Causa: A ACL não está associada ao listener ou não possui entradas de IP. Uma ACL vazia permite todo o tráfego.

Solução: Na aba Listener da instância ALB, visualize se a coluna Access Control do listener exibe o status Enabled. Confirme também se a ACL associada contém entradas de IP.

Impossibilidade de adicionar 0.0.0.0/0 à lista de permissões

Causa: As ACLs não suportam a entrada 0.0.0.0/0. O console exibirá um erro de formato.

Solução: O procedimento correto é disable access control e reativá-lo quando necessário.

Lista de bloqueios sem efeito

Causa: As requisições chegam ao ALB através de uma CDN ou WAF. O IP de origem visível para o ALB é o da CDN ou WAF, e não o endereço IP real do cliente.

Solução: O controle de acesso do ALB opera na Camada 4 e corresponde ao endereço IP de origem no pacote de requisição. Quando as requisições são encaminhadas por um proxy como CDN ou WAF, o IP de origem passa a ser o do proxy. Consequentemente, uma lista de bloqueios do ALB não consegue bloquear o IP do cliente. Configure a lista de bloqueios na camada da WAF ou da CDN.

Lista de bloqueios não bloqueia o IP do X-Forwarded-For

Causa: O controle de acesso do ALB atua na Camada 4 e corresponde apenas ao endereço IP de origem no pacote de requisição. Ele não analisa o cabeçalho HTTP X-Forwarded-For da Camada 7.

Solução: Implemente essa funcionalidade usando uma custom rule na WAF. Defina o Match Field como X-Forwarded-For, o Logical Operator como Contains, o Match Content como o endereço IP alvo e a Rule Action como Block. Para mais detalhes, consulte Configure match conditions for a custom rule.

Regras allow/deny do NGINX backend sem efeito

Causa: Após o tráfego passar pelo proxy do ALB, o servidor backend recebe o IP local da instância ALB (um endereço IP privado atribuído pelo vSwitch onde a instância reside) como IP de origem. As regras allow/deny do NGINX baseiam-se nesse IP de origem, impossibilitando a correspondência com o IP do cliente.

Soluções:

• (Recomendado) Utilize o recurso de controle de acesso do ALB para configure uma lista de permissões ou bloqueios de IP diretamente na camada do ALB.

• No NGINX, obtain the real client IP address a partir do cabeçalho de requisição X-Forwarded-For e configure as regras allow/deny com base no endereço IP real.

Restrição de acesso por domínio ou caminho

Descrição: As ACLs operam no nível do listener e não diferenciam por nome de domínio ou caminho. Quando ativada, a ACL afeta todos os domínios associados ao listener.

Solução alternativa: Para instâncias ALB Standard ou com WAF habilitado, utilize regras de encaminhamento. Na condição de encaminhamento, configure as condições Domain Name/Path e SourceIp para Return Fixed Response (como 403) nas requisições correspondentes. A condição SourceIp de uma única regra de encaminhamento suporta até cinco endereços IP ou blocos CIDR, mas não aceita o formato 0.0.0.0/x. Se você tiver muitos endereços IP ou utilizar uma instância ALB Basic, recomendamos o uso da WAF. Crie uma custom rule na WAF para combinar condições de host/caminho e IP para o controle de acesso.

Bloqueio de endereços IP de outros países

Descrição: O controle de acesso do ALB não possui funcionalidade de bloqueio geográfico e não identifica automaticamente o país de origem de um endereço IP.

Solução alternativa: Adicione manualmente faixas de IP estrangeiras conhecidas a uma lista de bloqueios. No entanto, esse método não é atualizado automaticamente e está sujeito a limites de entradas. Recomendamos o uso do recurso geo-blocking da WAF.