Que faixa de IP solicito ao administrador do sistema para que o S3 funcione?

Question

Eu escrevi alguns programas para o Raspberry Pi, que algumas pequenas empresas demonstraram interesse. Eu vendi o Raspberry Pi pré-configurado para eles, com meu programa neles, e funciona para todos, exceto uma das empresas. . Eles têm políticas muito rigorosas, o que é compreensível.

Meu programa usa o serviço S3 da Amazon. Eu dei instruções sobre quais portas e serviços que precisam ser abertos para que o programa funcione, para acessar o S3, e o administrador do sistema está dizendo ok para tudo, exceto uma coisa: eles não podem permitir a porta 443 para o todo Internet. Eu preciso especificar intervalos de IP, eles dizem.

Eu tenho feito algumas pesquisas, e parece que o S3 precisa de um vasto intervalo de IPs para funcionar, e os endereços IP necessários continuam aumentando. A maior parte da documentação que encontrei, explicita claramente que "a porta 80 e a porta 443 precisam estar abertas" e que os endereços IP dos servidores S3 variam.

Você tem alguma sugestão sobre o que eu posso sugerir? Existem firewalls que podem filtrar por nome de domínio (* .amazonaws.com)? Ou há mais alguma coisa que eu possa fazer? Existe uma lista oficial de IPs para o S3, que é atualizada regularmente?

Qualquer ajuda sua será muito apreciada. Obrigado.

    

Answer 1

Antes de começar a criar o intervalo de IP permitido, identifique a região. A lista de regiões S3 está disponível aqui .

Vamos supor que você precise de um intervalo de IPs para s3-us-west-2.amazonaws.com .

Você pode obtê-lo executando os seguintes comandos em um sistema Linux ou comandos equivalentes em outros sistemas.

Obter endereço IP para o domínio:

$ host s3-us-west-2.amazonaws.com
s3-us-west-2.amazonaws.com has address 54.231.161.248

O domínio terá vários endereços IP associados a ele, que possivelmente estarão em redes separadas. Tente executar este comando várias vezes para ver se os endereços IP retornados estão na mesma rede. Caso contrário, tente identificar IPs de redes separadas e execute o comando abaixo em todos esses IPs. Infelizmente, não há como solicitar que um servidor DNS retorne todos os registros A associados a um domínio específico.

Execute whois para obter informações sobre o endereço IP:

$ whois 54.231.161.248
...
NetRange:       54.230.0.0 - 54.231.255.255
CIDR:           54.230.0.0/15
...

A saída Whois incluirá muitas informações extras que você não precisa e a saída pode ser diferente para diferentes endereços IP. No entanto, você deve ser capaz de encontrar o intervalo IP na saída.

Abordagem alternativa:

A Amazon tem um fórum post , que lista seus intervalos de IP e é atualizado regularmente. pode usar isso também.

Como esses intervalos de IP estão mudando ao longo do tempo, o ideal é que você deseje ter um script que os investigue e avise quando novos IPs forem descobertos. Conforme observado no comentário abaixo, você provavelmente não deseja que sua configuração de firewall seja atualizada sem primeiro confirmar se os intervalos de IP estão corretos.

    

Answer 2

A Amazon publica agora uma lista atualizada automaticamente de intervalos de IP para cada serviço aqui: link - consulte < href="http://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html"> link para semântica e como ser notificado sobre mudanças.