【公有云】阿里云 Endpoint 安全组设置导致访问偶发超时

之前的文章通过AWS Endpoint service & Endpoint 实现跨VPC请求收敛描述了如何通过 AWS Endpoint service & Endpoints 实现跨VPC请求的收敛。

最近我们进行了一次多云改造,阿里云也要承担一部分业务,因此我们需要在阿里云'复制'在AWS做过的PROD-PCI请求收敛工作。

好在阿里云很多云产品的设计很大程度借鉴了AWS,因此'复制'工作不需要重新规划,只需要调整细节即可。

在 Endpoints 和 Endpoints Service 交付给到客户后,在测试过程中客户发现偶发的请求超时,我们通过从服务本地发起请求等方式排除了一些潜在的原因。在和阿里云的同学沟通后,有以下分析。


背景

1)同一region内两个VPC互通,通过PrivateLink实现

2)在Endpoint(PROD VPC)上绑定了一个安全组,该安全组入向允许特定网段的80,443;出向允许0.0.0.0/0 80,443

3)以下链路偶发超时:Client(PROD VPC) -> Endpoint(PROD VPC)-> Endpoint Service(PCI VPC) -> NLB(PCI VPC) -> Service(PCI VPC)

解释

ep安全组出向配置了 0.0.0.0 /80 443的访问控制,ep在回包的时候命中不了这规则,目标是客户端的IP和TCP高位端口,底层ep的转发设备是多台的, 偶发能通原因是,回包hash到了有session的ep设备上,不经过安全组校验,直接转发。

即:

1)ep的安全组出入向都作用在发起请求的client

2)ep有多个'物理'实例,回包如果走不同的ep底层转发设备就需要校验出向规则,导致回包被拒绝(偶发失败的原因);如果走同一ep底层转发设备,由于同一session,不校验出向规则(偶发成功的原因)

参考下图理解:

相关推荐
Clownseven17 分钟前
云端备份与恢复策略:企业如何选择最安全的备份解决方案
安全
泊浮目2 小时前
未来数据库硬件-网络篇
数据库·架构·云计算
薄荷椰果抹茶3 小时前
【网络安全基础】第六章---Web安全需求
安全·web安全
Imagine Miracle4 小时前
Ubuntu for ARM 更换为阿里云镜像源
arm开发·ubuntu·阿里云
运维开发王义杰10 小时前
金融安全生命线:用AWS EventBridge和CloudTrail构建主动式入侵检测系统
安全·金融·aws
安全系统学习12 小时前
系统安全之大模型案例分析
前端·安全·web安全·网络安全·xss
draymond710713 小时前
阿里云-云效自动部署spring boot项目
阿里云
加密狗复制模拟14 小时前
坚石ET ARM加密狗复制模拟介绍
安全·软件工程·个人开发
galaxylove15 小时前
Gartner发布塑造安全运营未来的关键 AI 自动化趋势
人工智能·安全·自动化
scuter_yu15 小时前
主流零信任安全产品深度介绍
运维·网络·安全