Server Load Balancer:Controle de acesso

Por que minha lista de permissões permite todos os IPs?

Causa: O controle de acesso está desativado no listener ou a ACL associada está vazia (uma ACL vazia permite todo o tráfego).

Solução: Acesse a aba Listener da sua instância CLB. Verifique se a coluna ACL do listener desejado exibe Enabled e confirme se a ACL associada contém entradas de IP.

Por que minha lista de bloqueios não consegue bloquear IPs?

Causa: Quando as requisições passam por um proxy (CDN ou WAF), o CLB identifica o IP de back-to-source do proxy em vez do IP real do cliente. Isso impede a correspondência das regras da lista de bloqueios.

Solução: Configure a lista de bloqueios na camada de proxy (CDN ou WAF). Se os clientes puderem contornar o proxy, adicione uma lista de permissões no CLB que permita apenas os intervalos de IP de back-to-source do proxy.

Por que as regras allow/deny do Nginx são ineficazes com um listener Layer 7?

Causa: Listeners Layer 7 do CLB encaminham tráfego proveniente de IPs privados no intervalo 100.64.0.0/10. Como as regras allow/deny do Nginx correspondem ao IP de source, elas não conseguem filtrar pelo IP real do cliente.

Solução:

• (Recomendado) Use o controle de acesso do CLB para configurar uma lista de permissões ou de bloqueios diretamente na instância.

• No Nginx, extraia o IP real do cliente do cabeçalho X-Forwarded-For e configure as regras allow/deny adequadamente. Obtain the real client IP on a backend server through a CLB Layer 7 listener.

Por que os grupos de segurança do ECS não conseguem bloquear o tráfego do CLB?

Causa: O CLB utiliza o intervalo 100.64.0.0/10 para se comunicar com as instâncias ECS de backend. Por definição, as regras de entrada dos grupos de segurança do ECS não restringem o tráfego desse intervalo.

Solução: Configure uma ACL no CLB para bloquear requisições por IP do cliente antes que elas cheguem aos servidores de backend.

O que acontece quando uma requisição é bloqueada?

Descrição: O CLB descarta as requisições bloqueadas sem retornar uma resposta. O cliente experimenta um tempo limite de conexão.

Listas de permissões protegem contra DDoS?

Descrição: Não. O tráfego DDoS consome a largura de banda da instância antes de atingir a camada de controle de acesso. Um ataque severo pode acionar o blackholing.

Recomendação: Use Anti-DDoS.

Por que o controle de acesso do CLB (lista de bloqueios/permissões) não está funcionando?

Descrição: Um grupo de políticas de ACL pode estar anexado a um listener enquanto o interruptor de controle de acesso permanece desativado. Configurar apenas o grupo de políticas não ativa o controle de acesso. Além disso, regras de porta do Cloud Firewall, proteção Anti-DDoS Origin ou proxies em múltiplas camadas que mascaram o IP real do cliente podem impedir individualmente o funcionamento correto do controle de acesso. Siga as etapas abaixo em ordem de prioridade.

Etapa 1: Verifique se o controle de acesso está ativado. Acesse a aba Listener da sua instância CLB. Na coluna ACL, verifique se o status do listener mostra Enabled. Um grupo de políticas de ACL pode existir no listener mesmo com o interruptor de controle de acesso desligado. Se estiver desativado, clique em Enable, selecione Whitelist: Allows Specified IP Addresses to Access the SLB Instance ou Blacklist: Forbids Specified IP Addresses to Access the SLB Instance como tipo de controle de acesso, associe um grupo de políticas de ACL e clique em Save.

Etapa 2: Verifique as regras de porta do Cloud Firewall. Se o Cloud Firewall estiver ativado na sua conta, faça login no console do Cloud Firewall e confirme se a porta do listener CLB está permitida na política de controle de acesso à rede. O Cloud Firewall pode bloquear independentemente o tráfego em uma porta, mesmo quando o controle de acesso do CLB está corretamente ativado.

Etapa 3: Verifique as configurações do Anti-DDoS Origin. Se sua instância CLB estiver protegida por Anti-DDoS, as regras de proteção na camada Anti-DDoS podem substituir as entradas da lista de bloqueios no lado do CLB. Nesse caso, configure as regras de lista de bloqueios e de permissões na instância Anti-DDoS em vez de no CLB.

Etapa 4: Identifique o IP real do cliente. Quando as requisições passam por várias camadas de proxy, o CLB vê apenas o IP do proxy upstream, não o IP real do cliente. Isso pode impedir a correspondência das regras de controle de acesso. Para localizar o IP real do cliente: desative temporariamente o controle de acesso do CLB, verifique os logs do servidor de backend ou da aplicação para identificar o IP de source real, adicione-o à ACL e reative o controle de acesso.

O CLB suporta limitação de taxa por IP do cliente?

Não. O controle de acesso do CLB avalia endereços IP e blocos CIDR com base em permissão ou negação (lista de permissões ou de bloqueios). Ele não suporta limitar a taxa de requisições por IP, como o número de requisições por segundo de um único endereço IP.

Para limitar a taxa de requisições por IP, utilize regras personalizadas do Web Application Firewall (WAF) para definir um limiar para o número de requisições dentro de uma janela de tempo especificada com base no IP do cliente. Se você precisar apenas bloquear endereços IP anormais específicos, adicione esses endereços IP ou blocos CIDR a uma lista de bloqueios do CLB por meio do controle de acesso.