View a markdown version of this page

Sécurité de l'infrastructure dans AWS Transfer Family - AWS Transfer Family
Considérations relatives au NLB et à la NATSécurité de l'infrastructure de connectivité VPC

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Sécurité de l'infrastructure dans AWS Transfer Family

En tant que service géré, AWS Transfer Family est protégé par AWS sécurité du réseau mondial. Pour plus d'informations sur AWS services de sécurité et comment AWS protège l'infrastructure, voir AWS Sécurité du cloud. Pour concevoir votre AWS environnement utilisant les meilleures pratiques en matière de sécurité de l'infrastructure, voir Protection de l'infrastructure dans Pilier de sécurité AWS Un cadre bien conçu.

Tu utilises AWS appels d'API publiés pour accéder AWS Transfer Family via le réseau. Les clients doivent prendre en charge les éléments suivants :

  • Protocole TLS (Transport Layer Security). Nous exigeons TLS 1.2 et recommandons TLS 1.3.

  • Suites de chiffrement avec une confidentialité avancée parfaite (PFS) telles que DHE (Ephemeral Diffie-Hellman) ou ECDHE (courbe elliptique éphémère) Diffie-Hellman). La plupart des systèmes modernes tels que Java 7 et les versions ultérieures prennent en charge ces modes.

Évitez de placer les NLB et les NAT devant AWS Transfer Family serveurs

Note

Les serveurs configurés avec les protocoles FTP et FTPS autorisent uniquement une configuration avec un VPC : aucun point de terminaison public n'est disponible pour FTP/FTPS.

De nombreux clients configurent un Network Load Balancer (NLB) pour acheminer le trafic vers leur AWS Transfer Family serveur. Ils le font généralement soit parce qu'ils ont créé leur serveur auparavant AWS ont proposé un moyen d'y accéder à la fois depuis leur VPC et depuis Internet, ou de prendre en charge le protocole FTP sur Internet. Cette configuration augmente non seulement les coûts pour les clients, mais peut également entraîner d'autres problèmes, que nous décrivons dans cette section.

Pour les serveurs SFTP qui utilisent un VPC-hosted point de terminaison, nous vous recommandons tout de même d'éviter un NLB dans la mesure du possible. Si votre architecture nécessite un NLB, par exemple, pour exposer le SFTP sur un port d'écouteur personnalisé qui AWS Transfer Family ne propose pas : vous pouvez conserver l'adresse IP source du client en activant le protocole PROXY v2 (PPv2). Pour plus d’informations, consultez Utilisation des équilibreurs de charge réseau.

Les passerelles NAT sont un composant obligatoire lorsque les clients se connectent à partir d'un réseau privé client derrière un pare-feu d'entreprise. Cependant, vous devez savoir que lorsque de nombreux clients se trouvent derrière la même passerelle NAT, cela peut avoir un impact sur les performances et les limites de connexion. S'il existe un NLB ou un NAT sur le chemin de communication entre le client et le serveur FTP ou FTPS, le serveur ne peut pas reconnaître avec précision l'adresse IP du client, car AWS Transfer Family ne voit que l'adresse IP du NLB ou du NAT.

Si vous utilisez la configuration d'un serveur Transfer Family derrière un NLB, nous vous recommandons de passer à un point de terminaison VPC et d'utiliser une adresse IP Elastic au lieu d'utiliser un NLB. Lorsque vous utilisez des passerelles NAT, tenez compte des limites de connexion décrites ci-dessous.

Si vous utilisez le protocole FTPS, cette configuration réduit non seulement votre capacité à vérifier qui accède à votre serveur, mais elle peut également avoir un impact sur les performances. AWS Transfer Family utilise l'adresse IP source pour partager vos connexions sur notre plan de données. Pour le FTPS, cela signifie qu'au lieu d'avoir 10 000 connexions simultanées, les serveurs de la famille Transfer dotés de passerelles NLB ou NAT sur la route de communication sont limités à seulement 300 connexions simultanées.

Bien que nous vous recommandons d'éviter les équilibreurs de charge réseau devant AWS Transfer Family serveurs, si votre implémentation FTP ou FTPS nécessite un NLB ou un NAT sur la route de communication depuis le client, suivez ces recommandations :

  • Pour un NLB, utilisez le port 21 pour les contrôles de santé, au lieu des ports 8192 à 8200.

  • Pour AWS Transfer Family serveur, activez la reprise de la session TLS en configurant TlsSessionResumptionMode = ENFORCED.

    Note

    Il s'agit du mode recommandé, car il offre une sécurité renforcée :

    • Exige des clients qu'ils utilisent la reprise de session TLS pour les connexions suivantes.

    • Fournit des garanties de sécurité renforcées en garantissant des paramètres de cryptage cohérents.

    • Aide à prévenir d'éventuelles attaques de rétrogradation.

    • Maintient la conformité aux normes de sécurité tout en optimisant les performances.

  • Si possible, évitez d'utiliser une NLB pour tirer pleinement parti de AWS Transfer Family limites de performances et de connexion.

Pour obtenir des conseils supplémentaires sur les alternatives au NLB, contactez le AWS Transfer Family L'équipe de gestion des produits via AWS Soutien. Pour plus d'informations sur l'amélioration de votre posture de sécurité, consultez le billet de blog Six conseils pour améliorer la sécurité de votre AWS Transfer Family serveur.

Sécurité de l'infrastructure de connectivité VPC

Les connecteurs SFTP de type VPC de sortie améliorent la sécurité de l'infrastructure grâce à l'isolation du réseau et à une connectivité privée :

Avantages de l'isolation du réseau

  • Trafic sur le réseau privé: tout le trafic des connecteurs vers les serveurs SFTP privés reste dans votre VPC, sans jamais traverser l'Internet public.

  • Sortie contrôlée: pour les terminaux publics accessibles via un VPC, le trafic passe par vos passerelles NAT, ce qui vous permet de contrôler les adresses IP de sortie et les politiques réseau.

  • Contrôles de sécurité VPC: Tirez parti des groupes de sécurité VPC, des ACL réseau et des tables de routage existants pour contrôler l'accès au réseau des connecteurs.

  • Connectivité hybride: Accédez à des serveurs SFTP locaux via des connexions VPN ou Direct Connect établies sans exposition supplémentaire à Internet.

Considérations relatives à la sécurité des passerelles

Les passerelles de ressources fournissent des points d'entrée sécurisés pour Cross-VPC Accès aux ressources :

  • Multi-AZ déploiement: Les passerelles de ressources nécessitent des sous-réseaux dans au moins deux zones de disponibilité pour garantir une haute disponibilité et une tolérance aux pannes.

  • Contrôles des groupes de sécurité: configurez des groupes de sécurité pour restreindre l'accès aux ports SFTP (généralement le port 22) à partir de sources autorisées uniquement.

  • Placement de sous-réseaux privés: Déployez des passerelles de ressources dans des sous-réseaux privés lors de la connexion à des serveurs SFTP privés afin de maintenir l'isolation du réseau.

  • Limites de connexion: Chaque passerelle de ressources prend en charge jusqu'à 350 connexions simultanées avec un délai d'inactivité de 350 secondes pour les connexions TCP.