如何將所有外部IP阻止到AWS ELB后面的端點？

Question

好的-所以我有一個開發人員，不希望外部允許訪問我們的REST端點，唯一允許的訪問是localhost和內部網絡方案。 我們的內部網絡方案是10.10.xx

我們這樣做的方法是使用.conf文件中的<LocationMatch>開關，如下所示：

<LocationMatch "/foo/bar/*">
  Order deny,allow
  Deny from all
  Allow from 10.10
  Allow from 127
</LocationMatch>

現在，我們面臨的挑戰是，AWS Load Balancer上具有X-Forward-Host規則，因此所有原始源IP以及如果我從10開始允許-很顯然，因此將允許從外部訪問所有端點。

如前所述，我們的內部IP是10.10，所以我可以允許從10.10開始，這樣就可以解決它，但是如果我創建更多區域，則網絡方案可能是10.20.x。 10.30.xx 10.40.xx，那么它就變成了一場行政噩夢。

因此，有意義的是提到有人在http.conf級別上做某事：

<Directory />
    #Example..
    SetEnvIF X-Forwarded-For "(,| |^)192\.168\.1\.1(,| |$)" DenyIP
    SetEnvIF X-Forwarded-For "(,| |^)10\.1\.1\.1(,| |$)" DenyIP
    Order allow,deny
    Deny from env=DenyIP
    Allow from all
</Directory>

從此博客中找到

因此，我不確定如何遵循這種格式，並確保它拒絕這些目錄的所有外部IP。

http.conf文件是否具有以下內容：

<VirtualHost>
    #Example..
    SetEnvIF X-Forwarded-For "(,| |^)*\.*\.*\.*(,| |$)" DenyIP
</VirtualHost>

我的其他帶有<LocationMatch>規則的conf文件具有：

<LocationMatch "/foo/bar/*">
  Order deny,allow
  Deny from env=DenyIP
  Allow from 10.
  Allow from 127
</LocationMatch>

謝謝你的幫助！

Answer 1

與其修改apache，不如使用安全組！

1. 為您的Elastic Load Balancer創建一個安全組。 允許端口0.0.0.0/0和0.0從0.0.0.0/0入站訪問。
2. 為您的apache服務器創建一個安全組。 允許從ELB安全組進行入站訪問（一個安全組可以引用另一個安全組）。 同時添加訪問權限，以便您可以通過SSH進入服務器。

而已！ 安全組將阻止嘗試訪問您的apache服務器而不通過負載均衡器的流量。

看到：

• 適用於Linux實例的Amazon EC2安全組
• 為您的負載均衡器配置安全組