Origin Shield

Restrinja a sua origem aos endereços da Azion e assine cada requisição de origem com HMAC, para que clientes não contornem as proteções à frente dela.

Última atualização

Ver como Markdown Configurar agente

Uma origem na internet pública responde a qualquer um que encontre o seu endereço, então um cliente pode contornar um proxy e todas as proteções à frente dele. Duas verificações fecham esse caminho. A origem aceita conexões apenas dos endereços do proxy e recusa toda requisição que não carrega uma assinatura feita com um segredo que só o proxy guarda. Com as duas em vigor, uma requisição chega à origem somente pelo proxy.

Origin Shield dá as duas verificações a um connector do tipo http, para cada requisição que uma regra de aplicação com o behavior Set Connector envia a ele. Um código de autenticação de mensagem baseado em hash (HMAC) assina cada requisição que o connector envia com credenciais AWS Signature Version 4. Assim, uma origem compatível com S3 a autentica. Origin IP ACL deixa o firewall da sua origem permitir somente os prefixos IPv4 e IPv6 da network list Azion Origin Shield, nas camadas 3 e 4. Use Origin Shield para impedir que os clientes alcancem a sua origem diretamente ou para servir um bucket privado por meio de uma aplicação.

Restrinja uma origem à Azion Referência do Origin Shield

Estrutura da configuração do Origin Shield

Origin Shield age por meio da configuração de um connector: um switch para Origin Shield, um switch por defesa e as credenciais HMAC. Este corpo cria um connector que lê um bucket privado pelo endpoint S3 do Object Storage e assina cada requisição, enviado como corpo de POST /v4/workspace/connectors:

JSON
01{
02 "name": "my-bucket-connector",
03 "type": "http",
04 "attributes": {
05 "addresses": [{ "address": "s3.us-east-005.azionstorage.net" }],
06 "connection_options": {
07 "transport_policy": "force_https",
08 "host": "s3.us-east-005.azionstorage.net",
09 "path_prefix": "/<bucket-name>"
10 },
11 "modules": {
12 "origin_shield": {
13 "enabled": true,
14 "config": {
15 "origin_ip_acl": { "enabled": false },
16 "hmac": {
17 "enabled": true,
18 "config": {
19 "type": "aws4_hmac_sha256",
20 "attributes": {
21 "region": "us-east-005",
22 "service": "s3",
23 "access_key": "<access-key>",
24 "secret_key": "<secret-key>"
25 }
26 }
27 }
28 }
29 }
30 }
31 }
32}
  • modules.origin_shield.enabled ativa Origin Shield, e o config dele guarda um switch por defesa, origin_ip_acl.enabled e hmac.enabled. Os três são false em um connector novo, e este corpo ativa somente HMAC.
  • hmac.config carrega as credenciais. type é aws4_hmac_sha256, region é uma região que o provedor suporta e service tem o padrão s3. A access key e a secret key vêm do seu provedor de object storage.
  • Com enabled definido como true, config precisa carregar pelo menos uma chave e, com hmac.enabled definido como true, hmac.config precisa estar presente, ou Azion API recusa a requisição com 28014. Para cada campo e o erro que o protege, consulte Configurações de connector.
  • Azion Console grava os mesmos campos. O switch Origin Shield do formulário do connector mostra o switch Origin IP ACL e a seção HMAC, em que Type é somente leitura.

Se você assina requisições ao S3 com AWS Signature Version 4, as credenciais se transferem: HMAC recebe a mesma região, serviço, access key e secret key.

Caminho da requisição

Origin Shield age no trecho entre o connector e a origem. HMAC adiciona a assinatura quando o connector envia a requisição, e Origin IP ACL entra em vigor na sua origem, que verifica de onde vem a conexão.

Este diagrama acompanha uma requisição, da regra até uma origem protegida:

  1. O behavior Set Connector de uma regra nomeia um connector que tem Origin Shield ativado.
  2. Com HMAC ativado, o connector assina a requisição com as credenciais que guarda.
  3. A conexão alcança a sua origem a partir de um endereço da Azion. Com Origin IP ACL, o firewall da sua origem a aceita porque o endereço está na lista Azion Origin Shield.
  4. A origem verifica a assinatura e responde à requisição.

Para saber como Origin IP ACL e HMAC protegem a origem, consulte Origin IP ACL e HMAC.

Escopo e limites

  • Tipo de connector: Origin Shield se aplica somente a um connector do tipo http, e um connector do tipo storage ou live_ingest não recebe configurações de Origin Shield. Em um connector do tipo http, Origin Shield e Load Balancer podem ficar ativados juntos.
  • Origin IP ACL: o firewall da sua origem aplica a allowlist, não a Azion, e recusa um cliente que se conecta diretamente ao endereço da origem. A lista Azion Origin Shield aparece em Network Lists assim que pelo menos um connector da conta tem Origin IP ACL ativado. Ela guarda prefixos IPv6 ao lado dos IPv4, e uma allowlist só com os prefixos IPv4 recusa as conexões que a Azion abre por IPv6.
  • Atualizações da lista: a lista pode mudar com frequência, e a Azion envia um e-mail a toda conta com Origin Shield a cada mudança. Azion Console guarda um histórico dos prefixos que cada mudança adicionou e removeu. Os servidores por trás de um prefixo adicionado entram em produção 7 dias depois que a Azion publica a lista. Esse é o seu prazo para atualizar a cópia na sua origem. Para ler a lista e automatizar essa atualização, consulte Libere os IPs da Azion na sua origem.
  • HMAC: um conjunto de credenciais assina as requisições para todos os endereços do connector, e desativar HMAC as remove. A assinatura protege somente uma origem que a verifica. Com HMAC desativado, um bucket privado no endpoint S3 do Object Storage responde 401, não 403. Para as etapas, consulte Assine requisições de origem com HMAC.
  • O que cada defesa prova: um endereço da lista prova que a conexão veio da infraestrutura da Azion, não do seu connector. Quando a assinatura é válida, ela prova que a requisição leva as suas credenciais. Ative as duas quando a origem precisar aceitar somente requisições que passam pela Azion e levam as suas credenciais, como explica O que cada mecanismo prova.
  • Propagação: uma mudança nesses switches chega ao tráfego em vários minutos, em um momento diferente em cada data center. Por exemplo, logo depois que você desativa HMAC, alguns data centers ainda assinam requisições enquanto outros já as enviam sem assinatura.
  • Interfaces: você ativa Origin Shield no formulário do connector no Azion Console ou pela API em /v4/workspace/connectors. Azion CLI cria o connector a partir de um arquivo JSON, com azion create connector --type http --file connector.json. No azion.config.js, um connector o declara em attributes.modules.originShield.
  • Limites: HMAC aceita um conjunto de credenciais por connector, e cada um dos atributos dele aceita de 1 a 255 caracteres. Para cada limite e o que cada plano inclui, consulte Limites de Connectors e, para os valores, Preços.
  • Produtos vizinhos: Origin Shield protege a origem com uma allowlist e com a assinatura de requisições. Uma segunda camada de cache entre o cache da Azion e a sua origem, que reduz as requisições que chegam a ela, é Tiered Cache.
  • Termos: o glossário de Connectors define as palavras às quais as páginas do Origin Shield dão um significado específico, como Origin IP ACL, HMAC e lista Azion Origin Shield.

Próximos passos

Restrinja uma origem à AzionAtive Origin IP ACL e deixe o firewall da sua origem aceitar só os prefixos da Azion.Origin IP ACL e HMACVeja o que cada defesa prova e como a lista de endereços é atualizada.Guias e tutoriaisConclua uma tarefa específica, de uma allowlist na sua origem a um bucket assinado como origem.LimitesConsulte os limites das credenciais HMAC e o que um plano inclui.Boas práticasMantenha atualizada a allowlist da sua origem e limite as credenciais HMAC a um bucket.Solução de problemasEncontre a causa quando a sua origem recusa a Azion ou um bucket responde 401.