Fiche
DNS
Image : l'annuaire qui traduit un nom en adresse.
Le DNS traduit un nom (s3.<région>.amazonaws.com) en adresse IP. Le code
utilise des noms, le réseau a besoin d'adresses.
L'annuaire d'AWS : le Resolver
- Chaque VPC a son annuaire, le Route 53 Resolver, à l'adresse « base du VPC + 2 » (ex.
10.1.0.2pour10.1.0.0/24). - Pour un nom public, il va lui-même chercher la réponse sur Internet. Même un VPC sans aucune sortie peut donc résoudre n'importe quel nom.
- Avec le DNS privé d'un endpoint, il répond l'adresse du guichet local au lieu de l'adresse publique.
La fuite par le DNS
machine ── « <données>.pirate.com ? » ──► Resolver ──► Internet ──► annuaire de pirate.com
le pirate lit <données>Aucune connexion vers le pirate, aucune route vers Internet : la donnée sort cachée dans la question.
Ce qu'il faut retenir
- Les security groups ne filtrent pas les questions au Resolver.
- Couper la route vers Internet ne suffit pas à empêcher toute fuite : il faut aussi filtrer le DNS, avec un DNS Firewall.
- NXDOMAIN = la réponse « ce nom n'existe pas ».
Source : AWS : Route 53 VPC Resolver.