AWS-ympäristön julkisten IP-osoitteiden rajoitus

Abstract

Yksi pilvipalvelujen eduista on resurssien luomisen helppous ja nopeus. Sen varjopuolena etenkin kompleksisissa ympäristöissä on pilven resurssien hallinnan ja elinkaaren seurannan vaikeus. Suomalaisessa IT-alan yrityksessä AWS-ympäristöön oli vuosien saatossa kertynyt satoja julkisia IP-osoitteita vailla nimettyjä omistajia tai IP-osoitteiden elinkaaren hallinnan prosesseja.

Opinnäytetyössä tarkastellaan miten tähän tilanteeseen päädyttiin ja mitä potentiaalisia ongelmia se voi aiheuttaa. Sen jälkeen esitellään suunnitelma ongelman korjaamiselle. Olemassa olevat julkiset IP-osoitteet tapauskohtaisesti joko poistetaan, korvataan muilla ratkaisuilla tai korvataan paremmin tarpeeseen soveltuvilla staattisilla IP-osoitteilla. Julkisille IP-osoitteille vaaditaan myös suojaavia kontrolleja kuten Dos/Ddos-suojaus ja tarvittaessa sovelluspalomuuri.

Sen lisäksi esitellään miten voidaan välttää samaan tilanteeseen päätyminen jatkossa käyttäen teknisiä kontrolleja, jotka rajoittavat uusien julkisten IP-osoitteiden luomista.

One of the key benefits of cloud computing services is the ease and speed of creating new resources. One of the downsides is the difficulty of controlling resources and their lifecycle, in particular in complex environments. One Finnish IT company’s AWS environment had become populated with hundreds of public IP addresses without named owners or suitable processes for lifecycle management.

In this thesis we will examine how the company arrived in this situation and the potential problems caused by it. After that we present a plan to fix the problem. The pre-existing public IP addresses are on a case by case basis either removed, replaced with other solutions or replaced with static public IP addresses better suited for the use case. Public IP addresses are also required to have protective controls such as firewalls, Dos/Ddos protection and if needed, web application firewalls.

In addition to this we present a solution for ensuring that similar problems cannot arise in the future by implementing a technical control that restricts users from creating new public IP addresses.