【公有云】阿里云 Endpoint 安全组设置导致访问偶发超时

之前的文章通过AWS Endpoint service & Endpoint 实现跨VPC请求收敛描述了如何通过 AWS Endpoint service & Endpoints 实现跨VPC请求的收敛。

最近我们进行了一次多云改造,阿里云也要承担一部分业务,因此我们需要在阿里云'复制'在AWS做过的PROD-PCI请求收敛工作。

好在阿里云很多云产品的设计很大程度借鉴了AWS,因此'复制'工作不需要重新规划,只需要调整细节即可。

在 Endpoints 和 Endpoints Service 交付给到客户后,在测试过程中客户发现偶发的请求超时,我们通过从服务本地发起请求等方式排除了一些潜在的原因。在和阿里云的同学沟通后,有以下分析。


背景

1)同一region内两个VPC互通,通过PrivateLink实现

2)在Endpoint(PROD VPC)上绑定了一个安全组,该安全组入向允许特定网段的80,443;出向允许0.0.0.0/0 80,443

3)以下链路偶发超时:Client(PROD VPC) -> Endpoint(PROD VPC)-> Endpoint Service(PCI VPC) -> NLB(PCI VPC) -> Service(PCI VPC)

解释

ep安全组出向配置了 0.0.0.0 /80 443的访问控制,ep在回包的时候命中不了这规则,目标是客户端的IP和TCP高位端口,底层ep的转发设备是多台的, 偶发能通原因是,回包hash到了有session的ep设备上,不经过安全组校验,直接转发。

即:

1)ep的安全组出入向都作用在发起请求的client

2)ep有多个'物理'实例,回包如果走不同的ep底层转发设备就需要校验出向规则,导致回包被拒绝(偶发失败的原因);如果走同一ep底层转发设备,由于同一session,不校验出向规则(偶发成功的原因)

参考下图理解:

相关推荐
Love__Tay1 小时前
笔记/云计算基础
笔记·学习·云计算
学术小八1 小时前
第二届云计算与大数据国际学术会议(ICCBD 2025)
大数据·云计算
容器魔方1 小时前
中选名单出炉|18位学生入选开源之夏KubeEdge课题,欢迎加入!
云原生·容器·云计算
黑客老李6 小时前
EDUSRC:智慧校园通用漏洞挖掘(涉校园解决方案商)
服务器·前端·网络·安全·web安全
玥轩_5216 小时前
BUUCTF [WUSTCTF2020]spaceclub 1
安全·网络安全·ctf·buuctf·ascii·spaceclub·wustctf2020
薄荷椰果抹茶7 小时前
【网络安全基础】第七章---无线网络安全
网络·安全·web安全
weixin_472339467 小时前
网络安全之重放攻击:原理、危害与防御之道
安全·web安全
sam.li7 小时前
WebView安全实现(一)
android·安全·webview
weixin_472339467 小时前
网络安全之注入攻击:原理、危害与防御之道
安全·web安全
Johny_Zhao14 小时前
Docker + CentOS 部署 Zookeeper 集群 + Kubernetes Operator 自动化运维方案
linux·网络安全·docker·信息安全·zookeeper·kubernetes·云计算·系统运维