Clientes desbloqueando o conteúdo do AWS S3 em seu firewall

Question

Eu tenho um site que serve conteúdo gerado pelo usuário do AWS S3.

Eu tenho um cliente que quer usar nosso site por trás de um firewall.

Eles estão me pedindo para fornecer um endereço IP estático para o conteúdo S3, o que não posso fazer.

No entanto, todo o meu conteúdo S3 está sendo veiculado em um dos três domínios.

O cliente está me dizendo que não há como desbloquear um domínio do firewall, eles só podem desbloquear endereços IP.

Isso não faz muito sentido para mim. É certo que eu sou um desenvolvedor web, não um técnico de rede, mas no meu firewall básico em casa eu posso desbloquear domínios.

O cliente também tentou sugerir que eu sou o único site disponível usando endereços IP dinâmicos. Eu assegurei a ele que este não é o caso. Infelizmente, o cara com quem estou falando está agindo como intermediário, entre eu e algum técnico de rede que opera seu firewall e rede.

Uma semana depois de dizer ao cara que falo que o desbloqueio de um domínio deve ser bastante trivial, recebo um e-mail detalhando um sistema que verifica os cabeçalhos de cada pacote com o IPTables. A sugestão do seu Network Technician parece extremamente complicada, e entre outras coisas ele quer "encontrar uma ferramenta ou biblioteca que me permita analisar os arquivos json que a Amazon publica contendo todos os seus endereços IP da AWS em arquivos de texto simples, para serem usados com Tabelas de IP ".

Não sou especialista em rede, então alguém pode me colocar aqui.

Estou super simplificando a situação, estou errado em pensar que um domínio pode ser "apenas desbloqueado" em um firewall?

    

Answer 1

O cliente não deve ficar preso a endereços IP, pois eles podem mudar com o tempo (mesmo se você não estiver usando uma plataforma de hospedagem na nuvem, como AWS) à medida que você dimensiona para um hardware mais novo, etc.

Dito isso, para um firewall de hardware (que não é protocolo ciente, alguns podem ser, mas soa como se o seu cliente não é), ele está apenas sendo configurado para permitir tráfego de um intervalo de rede para outro (assim, por exemplo, da sua rede interna para o (s) seu (s) servidor (es) web) - neste nível não existe tal conceito de nomes de domínio, da mesma forma que um número de telefone <<> / em> ser compartilhado entre residentes de uma casa, um endereço IP pode ser compartilhado entre muitos sites (e seus respectivos domínios) em um servidor.

pode ser o caso de que seu cliente seria melhor usar um proxy HTTP para impor controle de acesso em solicitações HTTP - há muitos produtos disponíveis, como WebSense , mas esses serviços têm suas limitações com precisão de algoritmos.