Új hozzászólás Aktív témák

• #18292 K1nG HuNp őstag emvy #18291

  Új Válasz 2022-12-15 14:18:57 #18292

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  K1nG HuNp

  őstag

  válasz emvy #18291 üzenetére

  Kontextus: A Caddy proxyt arra hasznaljuk, hogy az userek a sajat domainjeiket ezen proxy IP cimere tudjak iranyitani es ezaltal a sajat domainjukon a nalunk krealt weboldalaikat tudjak mutogatni, mikozben a mi infrastrukturank szolgalja ki a kereseket. Igy tehat hosszutavon statikus IP cimmel kell rendelkeznie a proxynak es kvazi publikus is ez az IP cim mert benne van a Support/How-to doksinkban. Azert Caddyt hasznalunk mert o kepes arra, hogy az TLS handshake soran Lets Encryptel certificatet gyart es igy HTTPSen keresztul tudjuk kiszolgalni az userek domainjat.
  
  Egyszeri eset volt de elég volt arra, hogy lefektesse a Caddy proxyt. A beérkező késések patternje pedig egyértelműven attackra utal, az kérdéses, hogy specifikusan ránk vagy csak valami crawler szedte fel az IP-t és utána nyomták ránk is többek között a dolgot.

  AWS-en futunk, egy sima EC2 egy statikus Elastic IP-vel.

  Belenéztem milyen lehetőségek vannak L7 támadások ellen, de elég kacifántos megoldások vannak. Alapvetően van egy WAF-juk de azt csak Application Load Balancerekre lehet kötni szóval első nekifutásra az ALB+WAF -> EC2 megoldás tűnt jónak aztán kiderült, hogy az ALB nem támogat statikus IPket.

  Erre megoldás, hogy egy Network Load Balancert huz fel az ember az ALB elé, az már tud Elastic IPhez csatolodni. Szoval eddgi az a keplet, hogy NLB+Elastic IP -> ALB -> EC2

  Kerdeses, hogy az NLB és az ALB közé (vagy az ALB mellé kerül és akkor nem zavar igazabol?) be lehet e rakni a WAF-ot..

  Mindegy, ha folytatodnak a tamadasok majd jobban belenezek meg megprobalom tenylegesen leimplementalni.

  Addig meg jo megoldas lehet penzt dobalni a problemara, nagyobb EC2, meg valamiert a Caddy proxy nem indult ujra miutan elhasalt az EC2 szoval lehet erdemes lenne a systemd konfignak is utana nezni hogy legalabb self-healeljen a proxy ha tamadas is eri.

Új hozzászólás Aktív témák