云端部署安全：网络隔离与防护八大实战法则

　　去年七月，我在深圳南山那间玻璃墙会议室盯CDN回源链路，空调坏了十七分钟，工位上那份没拆封的黄焖鸡还印着美团骑手的指纹——这时候监控平台弹出第十八条「异常端口探测」报警，声音跟地铁报站似的，嗡一声，又嗡一声。我原以为是WAF策略漏了白名单，结果查完发现是某业务线把测试环境的API网关直接绑了生产VPC的路由表。你猜怎么着？对方发来一个捂脸笑表情包，后面跟着一句“刚切完灰度”，连个标点都没加。

　　优胜劣汰这事儿真不是虚的。不是指技术淘汰人，是人自己选。有人一听说云上做网络隔离，立马去翻Terraform模块库里那个叫‘secure-vpc-blueprint’的模板，改三行变量就往生产跑；也有人在备案号都还没过审的时候，先把ECS安全组规则设成0.0.0.0/0，说“先通再筛”。结果？前者三个月内两次被扫出未授权S3桶访问路径，后者上个月蜘蛛爬过去撞上调试接口返回了整个config.json——这个我敢打包票，原始日志我还存着，没删。

　　那天下午四点十七分，运维老周蹲在机柜前拧螺丝，背后风扇嗡嗡响得像要散架，他手里那把六角扳手已经磨出青灰包浆。我隔着两排机架喊他：“周工，vSwitch子网掩码能不能调小点？”他头也不抬：“调啥？你那个pod网段和DB网段都在同一张路由表里挂着，调掩码？调完了连kube-proxy都起不来。”说完他把扳手插回工具腰带，转身撕开一包薯片，咔嚓咔嚓嚼了七下，才补半句：“你们策划方案里写‘逻辑隔离’，但底层物理口根本没分光。”

　　我说的是八大法则，不是八种姿势。第一条就得打碎一个幻觉：所谓“默认拒绝”，是指SG规则不放行=自动拒接——可如果你用的是阿里云共享型SLB后挂了几十台老版Nginx，它根本不认SG的inbound规则，它只认自身listen配置里的allow/deny指令。我们试过三次：第一次全量切流，第二次按地域灰度，第三次干脆拿一台ECS裸装tcpdump抓包——结果全是SYN+ACK之后没后续。最后是产品侧小李凌晨一点在钉钉群甩出一段RFC 793原文截图，附言：“兄弟，SYN洪泛防御不在你的ACL里，在它的中断队列长度阈值里。”群里没人回，只有一条系统消息：「李伟已撤回一条消息」。

　　哦对，昨天早上十点零三分，市场部王倩在群里@我：“刘工，收录慢是不是和你们新上的HTTPS强制跳转有关？”我盯着屏幕看了十一秒，没回。因为前天刚收到信安同事的邮件：某渠道埋点SDK偷偷调用了未备案的CDN域名，跳转链路上绕了两层302，最终指向境外静态资源——这个我说不准。备案本身没毛病，但中间那段重定向，谁写的JS，压根没走我们自己的调度器，是他们自己用webpack externals配的远程URL。我截图发过去，王倩回复了个OK手势，然后补了句：“那个埋点版本要不要升？”我没看懂，也没问，顺手把窗口最小化了，桌面右下角弹出一条新通知：“您的腾讯会议正在被录制”。

　　第二条实操铁律：别信“跨可用区高可用”这话。去年七月那个暴雨夜，我们两个AZ同时丢包率飙升，排查到⭐️⭐️⭐️⭐️是同城双中心之间那根运营商光纤被人误挖断——可所有监控面板都显示“绿色”，因为BGP路由收敛太快，探测包全从备用链路跑了，根本没触发真实故障告警。真正的丢包藏在应用层RTT抖动曲线里，而那段曲线我们压根没采。直到有个用户打电话来说“上传照片卡在99%”，我们才临时开了一台跳板机curl -w “time_namelookup:%{time_namelookup}\
……”测了一遍，发现DNS解析多花了三百七十二毫秒。这不是网络问题，是我们的观测盲区太大。

　　还有一次更绝。安全组里明明禁了22端口，但SSH连接居然偶尔能通。排查三天，发现是某台实例开启了AWS Systems Manager Session Manager，它通过SSM Agent建隧道走443，根本不需要22——但我们所有的流量审计脚本，过滤条件都写的‘dst_port == 22’。所以那些成功连接，我们从来就没看见。这事我跟隔壁团队聊起，他们那边一个实习生当场掏出手机拍了张屏幕，发到群里问：“这是不是算绕过？”没人回答。我点了支烟，烟灰掉在键盘F5键上，弹出了Chrome刷新页面，然后又弹回去——那个动作重复了五次。

　　说到实习生，前两天他提了个MR，想把全部ECS的systemd-resolved配置改成国内DNS。我review时划掉其中一行：systemd-resolved.conf里写死114.114.114.114。我说：“别改这里。”他眨眨眼。我指了指K8s集群ConfigMap里那一千三百行coredns ConfigMap，“你改它，不是改单台。”他点点头，又摇头：“但这边CI流程快啊。”我说：“快是快，快到你推上去三分钟，线上DNS缓存就开始吐错误CNAME记录。”他没吭声，低头戳手机，我瞥见屏保是《攻壳机动队》的草薙素子截图，耳机线从左耳垂一直拖到裤兜——我忽然想起自己九年前第一次进机房，也是这样揣着耳机，听Radiohead，把工牌绳绕在手指上绕了八圈。

文章配图，仅供参考

　　下次我想试试把所有WAF自定义规则的正则表达式，换成随机种子生成的、长度超过一百二十字符的模糊匹配串——反正现在规则库里已经有四十七条「.\\.php\\?.=[a-zA-Z0-9]{6,}」这种东西了，没人记得哪条生效、哪条被覆盖、哪条其实在三个月前就被自动停用了。要不要试？我不急。等哪天我桌上那份黄焖鸡凉透了，再决定。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!