适用于VPC/VPN的AWS Cloudfront

Question

AWS是否允许使用Cloudfront进行网站使用,例如: - 缓存网页.网站只能在公司VPN中访问.在一个网络中使用受限制的应用程序时,在云端缓存网页是一个好主意吗？

Answer 1

正如@daxlerod指出的那样,可以在CloudFront中使用相对较新的Web应用程序防火墙服务来限制对内容的访问,例如,通过IP地址范围.

当然,并不要求网站实际托管在AWS内部,以便在其前面使用CloudFront.

但是,"它会起作用吗？" 并且"从安全角度来看,所需配置的所有含义是什么？" 是两个不同的问题.

为了在站点上使用CloudFront,必须可以从Internet访问源服务器(CloudFront在其中获取不在请求内容的边缘节点的缓存中的内容的Web服务器),以便CloudFront连接到它,这意味着您的私人网站必须在某种程度上暴露给互联网.

CloudFront IP地址范围是公共信息,因此您可以使用源服务器的防火墙部分保护对原始服务器的访问,但这只能阻止从CloudFront以外的任何地方进行访问 - 这是不够的,因为如果我知道您的"安全"服务器的名称,我可以创建自己的CloudFront分配并通过CloudFront访问它,因为IP地址将在相同的范围内.

CloudFront提供的机制是确保来自授权CloudFront分配的请求是自定义源头,这允许CloudFront将未知的自定义头和秘密值注入它发送到源服务器的每个请求,以允许您的服务器验证事实上,该请求不仅来自CloudFront,而且来自您的特定CloudFront分配.当然,您的原始服务器会拒绝不带此标题的请求,而无需解释.

请参阅http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/forward-custom-headers.html#forward-custom-headers-restrict-access.

而且,当然,你需要HTTPS CloudFront的和源服务器之间的浏览器和CloudFront的和https之间.可以将CloudFront配置为分别在正面或背面使用(或要求)https,因此,如果上述安全注意事项使其成为满足您需求的可行解决方案,则需要确保为两者进行适当配置.

对于不是非常敏感的信息,如果CloudFront的缓存或其他功能对您的网站有益,这似乎是一种明智的方法.

Answer 2

是的，CloudFront 被设计为网站前面的缓存层。

如果您想限制对 CloudFront 的访问，可以使用Web 应用程序防火墙服务。

Answer 3

将您的网站放入公共网络 > 在 CloudFront 分配中附加 WAF 规则 > 在 WAF 规则中将您公司 IP 的范围列入白名单，并将其他所有内容列入黑名单