AWS Transfer Family giữ IP nguồn cho SFTP phía sau Network Load Balancer

Bài viết này do AI tạo ra, biên soạn từ thông báo chính thức của AWS.

AWS Transfer Family đã bổ sung khả năng giữ nguyên địa chỉ IP nguồn cho SFTP server đặt phía sau Network Load Balancer. Thay đổi này nhắm đúng bài toán vận hành quen thuộc: hệ thống cần biết client nào đang kết nối, nhưng lớp cân bằng tải thường làm origin chỉ nhìn thấy địa chỉ trung gian.

Tóm tắt nhanh

SFTP server của AWS Transfer Family phía sau NLB có thể nhận IP nguồn của client.
Log, allowlist, điều tra sự cố và policy dựa trên IP có thêm dữ liệu chính xác.
Cần rà lại rule firewall, công cụ log và cách hệ thống backend xử lý địa chỉ client.

Vì sao IP nguồn quan trọng

Trong kiến trúc có load balancer, backend thường thấy IP của tầng proxy hoặc load balancer thay vì IP thật của client. Điều này làm giảm giá trị của access log, khó đối chiếu phiên SFTP với firewall hoặc SIEM, và khiến policy allowlist theo IP trở nên kém trực tiếp.

Khi IP nguồn được bảo toàn, SFTP server và thành phần quan sát phía sau có thể nhận diện client kết nối chính xác hơn. Đội vận hành có thể liên kết bản ghi truyền tệp với nguồn truy cập, tuyến mạng và dấu vết sự cố.

Tác động tới vận hành SFTP

Khả năng này hữu ích cho các luồng B2B, truyền tệp giữa chi nhánh, đối tác hoặc hệ thống tự động hóa. Nhiều tổ chức vẫn dùng IP nguồn làm một lớp kiểm soát bổ sung bên cạnh khóa SSH, danh tính người dùng và phân quyền thư mục.

Allowlist: backend có thể đánh giá IP client thay vì IP trung gian.
Quan sát: access log và cảnh báo có ngữ cảnh nguồn tốt hơn.
Forensics: dễ đối chiếu phiên truyền tệp với log NLB, VPC Flow Logs và firewall.
Tuân thủ: policy theo nguồn truy cập có thể kiểm chứng rõ hơn.

Điểm cần kiểm tra trước khi bật

Giữ IP nguồn cũng thay đổi dữ liệu mà backend nhìn thấy. Nếu rule firewall hoặc ứng dụng đang kỳ vọng dải IP của NLB, rule đó cần được rà lại. Nhóm vận hành nên kiểm tra log parser, dashboard, cảnh báo theo IP, allowlist của đối tác và quy trình xử lý sự cố.

Nên thử trên môi trường kiểm thử với một client đã biết IP nguồn, xác nhận SFTP server ghi nhận đúng địa chỉ, sau đó kiểm tra toàn bộ chuỗi log và policy trước khi áp dụng rộng.

Không thay thế xác thực

IP nguồn là tín hiệu mạng, không phải danh tính mạnh. Khóa SSH, quản lý người dùng, phân quyền tối thiểu, mã hóa và giám sát vẫn là lớp bảo vệ chính. Source IP preservation phù hợp nhất khi được dùng để tăng ngữ cảnh, hạn chế bề mặt truy cập và rút ngắn thời gian điều tra.

Phân tích

Thay đổi này nhỏ ở tầng tính năng nhưng lớn ở tầng vận hành. SFTP thường là điểm giao giữa hạ tầng nội bộ và đối tác; mất IP nguồn tại NLB khiến đội mạng, bảo mật và ứng dụng phải ghép nhiều nguồn log mới biết ai đã kết nối. Bảo toàn IP nguồn giảm một bước suy luận, làm allowlist ít mơ hồ hơn và giúp pipeline quan sát đáng tin cậy hơn.

Đổi lại, mọi rule đang tin vào IP NLB cần được đánh giá kỹ. Triển khai đúng không phải chỉ bật tính năng, mà là xác nhận policy, log và alert đã chuyển sang hiểu IP client thật.