Opciones de proveedor de identidades AWS Transfer Family matriz de tipos de punto final FTP/FTPS Consideraciones sobre NLB

Configuración de un punto final de servidor SFTP, FTPS o FTP

En este tema se proporcionan detalles sobre la creación y el uso de terminales de AWS Transfer Family servidor que utilizan uno o más de los protocolos SFTP, FTPS y FTP.

Temas

Opciones de proveedor de identidades

AWS Transfer Family proporciona varios métodos para autenticar y administrar usuarios. En la siguiente tabla, se comparan los proveedores de identidad disponibles que puede usar con Transfer Family.

Action	AWS Transfer Family servicio gestionado	AWS Managed Microsoft AD	Amazon API Gateway	AWS Lambda
Protocolos admitidos	SFTP	SFTP, FTPS, FTP	SFTP, FTPS, FTP	SFTP, FTPS, FTP
Key-based authentication	Sí	No	Sí	Sí
Autenticación de contraseña	No	Sí	Sí	Sí
AWS Identity and Access Management (IAM) y POSIX	Sí	Sí	Sí	Sí
Directorio de inicio lógico	Sí	Sí	Sí	Sí
Acceso parametrizado (basado en el nombre de usuario)	Sí	Sí	Sí	Sí
Estructura de acceso ad hoc	Sí	No	Sí	Sí
AWS WAF	No	No	Sí	No

Notas:

IAM se usa para controlar el acceso al almacenamiento de respaldo de Amazon S3 y POSIX se usa para Amazon EFS.
Ad hoc se refiere a la capacidad de enviar el perfil de usuario en tiempo de ejecución. Por ejemplo, puede colocar a los usuarios en sus directorios principales pasando el nombre de usuario como variable.
Para obtener más información al respecto AWS WAF, consulte. Agregue un cortafuegos de aplicaciones web
Hay una entrada de blog en la que se describe el uso de una función Lambda integrada con Microsoft Entra ID (anteriormente Azure AD) como proveedor de identidad de Transfer Family. Para obtener más información, consulte Autenticación AWS Transfer Family con Azure Active Directory y. AWS Lambda
Proporcionamos varias CloudFormation plantillas para ayudarlo a implementar rápidamente un servidor de Transfer Family que utilice un proveedor de identidad personalizado. Para obtener más información, consulte Plantillas de función de Lambda.

En los procedimientos siguientes, puede crear un SFTP-enabled servidor, FTPS-enabled un FTP-enabled servidor o un AS2-enabled servidor.

Paso siguiente

AWS Transfer Family matriz de tipos de punto final

Cuando cree un servidor de Transfer Family, seleccione el tipo de punto de conexión que va a utilizar. En la siguiente tabla se describen las características de cada tipo de punto de conexión.

Matriz de tipos de punto de conexión
Característica	Público	VPC: internet	VPC: interna	VPC_Endpoint (obsoleta)
Protocolos admitidos	SFTP	SFTP, FTPS, AS2	SFTP, FTP, FTPS, AS2	SFTP
Acceso	Desde Internet. Este tipo de punto de conexión no requiere ninguna configuración especial en la VPC.	A través de Internet y desde una VPC y VPC-connected entornos, como un centro de datos local Direct Connect o una VPN.	Desde una VPC y desde VPC-connected entornos, como un centro de datos local o a través de una VPN. Direct Connect	Desde una VPC y desde VPC-connected entornos, como un centro de datos local o a través de una VPN. Direct Connect
Direcciones IP estáticas	No puedes adjuntar una dirección IP estática. AWS proporciona direcciones IP que están sujetas a cambios.	Puede adjuntar direcciones IP elásticas al punto de conexión. Pueden ser direcciones IP propias de AWS o sus propias direcciones IP (Traer sus propias direcciones IP). Las direcciones IP elásticas adjuntas al punto de conexión no cambian. Las direcciones IP privadas adjuntas al servidor tampoco cambian.	Las direcciones IP privadas adjuntas al punto de conexión no cambian.	Las direcciones IP privadas adjuntas al punto de conexión no cambian.
Lista de direcciones IP de origen permitidas	Este tipo de punto de conexión no admite listas de permisos por direcciones IP de origen. El punto de conexión es de acceso público y escucha el tráfico a través del puerto 22. nota En el caso de VPC-hosted los terminales, los servidores SFTP Transfer Family pueden funcionar a través del puerto 22 (el predeterminado), 2222, 2223 o 22000.	Para permitir el acceso mediante la dirección IP de origen, puede utilizar grupos de seguridad conectados a los puntos de conexión del servidor y las ACL de red conectadas a la subred en la que se encuentra el punto de conexión.	Para permitir el acceso mediante la dirección IP de origen, puede utilizar grupos de seguridad conectados a los puntos de conexión del servidor y la lista de control de acceso de la red (ACL de la red) conectadas a la subred en la que se encuentra el punto de conexión.	Para permitir el acceso mediante la dirección IP de origen, puede utilizar grupos de seguridad conectados a los puntos de conexión del servidor y las ACL de red conectadas a la subred en la que se encuentra el punto de conexión.
Lista de firewalls de clientes permitidos	Debe permitir el nombre DNS del servidor. Como las direcciones IP están sujetas a cambios, evite utilizarlas en la lista de direcciones IP permitidas por el firewall de su cliente.	Puede permitir el nombre DNS del servidor o las direcciones IP elásticas adjuntas al servidor.	Puede permitir las direcciones IP privadas o el nombre DNS de los puntos de conexión.	Puede permitir las direcciones IP privadas o el nombre DNS de los puntos de conexión.
Tipo de dirección IP	IPv4 (predeterminado) o de doble pila (IPv4 e IPv6)	Solo IPv4 (no se admite la pila doble)	IPv4 (predeterminado) o doble pila (IPv4 e IPv6)	Solo IPv4 (no se admite la pila doble)

nota

El tipo de VPC_ENDPOINT puntos de conexión ahora está en desuso y no puede ser utilizado para crear nuevos servidores. En lugar de utilizarlaEndpointType=VPC_ENDPOINT, utilice el tipo de punto de conexión de la VPC (EndpointType=VPC), que puede utilizar tanto de forma interna como conectada a Internet, tal y como se describe en la tabla anterior.

Para obtener más información sobre la obsolescencia, consulte. Suspender el uso de VPC_ENDPOINT
Para obtener información sobre la administración de los permisos de punto final de la VPC, consulte. Limitar el acceso a los terminales de VPC para los servidores Transfer Family

Tenga en cuenta las siguientes opciones para aumentar la seguridad de su servidor AWS Transfer Family :

Utilice un punto de enlace de la VPC con acceso interno, de modo que solo puedan acceder al servidor los clientes de su VPC o VPC-connected entornos, como un centro de datos local a través de una VPN o a través de un centro de datos local. Direct Connect
Para permitir que los clientes accedan al punto de conexión a través de Internet y proteger su servidor, utilice un punto de conexión de VPC con acceso a Internet. A continuación, modifique los grupos de seguridad de la VPC para permitir el tráfico únicamente desde determinadas direcciones IP que alojan los clientes de sus usuarios.
Si necesita una autenticación basada en contraseñas y utiliza un proveedor de identidad personalizado en el servidor, se recomienda que su política de contraseñas impida que los usuarios creen contraseñas poco seguras y limite el número de intentos fallidos de inicio de sesión.
AWS Transfer Family es un servicio gestionado y, por lo tanto, no proporciona acceso al shell. No puede acceder directamente al servidor SFTP subyacente para ejecutar comandos nativos del sistema operativo en los servidores de Transfer Family.
Use un Equilibrador de carga de red frente a un punto de conexión de VPC con acceso interno. Cambie el puerto oyente del equilibrador de carga del puerto 22 a un puerto diferente. Esto puede reducir, pero no eliminar, el riesgo de que los escáneres de puertos y los bots inspeccionen el servidor, ya que el puerto 22 es el más utilizado para escanear. Para obtener más información, consulta la entrada del blog Los balanceadores de carga de red ahora admiten grupos de seguridad.

nota
Si utilizas un balanceador de cargas de red, los AWS Transfer Family CloudWatch registros muestran la dirección IP del NLB, en lugar de la dirección IP real del cliente.

Consideraciones sobre el balanceador de cargas de red FTP y FTPS

Aunque recomendamos evitar colocar los balanceadores de carga de red delante de AWS Transfer Family los servidores, si tu implementación de FTP o FTPS requiere un NLB o NAT en la ruta de comunicación desde el cliente, sigue estas recomendaciones:

En el caso de un NLB, usa el puerto 21 para las comprobaciones de estado, en lugar de los puertos 8192-8200.
Para el AWS Transfer Family servidor, habilite la reanudación de la sesión TLS mediante la configuración. TlsSessionResumptionMode = ENFORCED
nota
Este es el modo recomendado, ya que proporciona una seguridad mejorada:
- Requiere que los clientes utilicen la reanudación de la sesión TLS para las conexiones posteriores.
- Proporciona garantías de seguridad más sólidas al garantizar parámetros de cifrado coherentes.
- Ayuda a prevenir posibles ataques de degradación.
- Mantiene el cumplimiento de los estándares de seguridad al tiempo que optimiza el rendimiento.
Si es posible, deje de usar un NLB para aprovechar al máximo los límites de AWS Transfer Family rendimiento y conexión.

Para obtener más información sobre las alternativas al NLB, póngase en contacto con el equipo de gestión de AWS Transfer Family productos a través AWS del servicio de soporte. Para obtener más información sobre cómo mejorar la seguridad, consulte la entrada del blog Seis consejos para mejorar la seguridad de su AWS Transfer Family servidor.

La guía de seguridad para los NLB se proporciona enEvite colocar los NLB y los NAT delante de AWS Transfer Family servidores.

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Configure una aplicación web con acceso selectivo a varios cubos

Configurar un punto final de servidor de Transfer Family