Direct Connect est une liaison dédiée entre un réseau on-premises et AWS, exposée via des interfaces virtuelles (VIF) qui se rattachent à des VPC ou à une passerelle Direct Connect. Un point d'appui de part et d'autre d'une VIF atteint l'autre côté : un rôle VPC compromis lit le routage hybride qui mène vers l'on-premises, et un hôte on-premises compromis emprunte la VIF privée pour entrer dans les plages VPC qui supposent la liaison digne de confiance.
Énumérer les liaisons et les interfaces#
aws directconnect describe-connections
aws directconnect describe-virtual-interfaces \
--query "virtualInterfaces[].[virtualInterfaceId,virtualInterfaceType,vlan,amazonAddress,customerAddress,virtualGatewayId]"
aws directconnect describe-direct-connect-gateways
Notes d'exploitation#
- Les paires d'adresses de VIF privée (
amazonAddress/customerAddress) révèlent les plages internes de la liaison hybride à scanner depuis un point d'appui VPC. - Le trafic sur une VIF privée est souvent implicitement digne de confiance des deux côtés : les contrôles qui supposent une frontière internet ne s'appliquent donc pas.
- Une passerelle Direct Connect peut rattacher la liaison à plusieurs VPC et comptes, élargissant le rayon d'impact de la compromission de l'un ou l'autre côté.
Outils#
- AWS CLI (
directconnect describe-*) : énumération des liaisons, VIF et passerelles. - Analyse de routes/VPC (VPC) : corréler les plages annoncées par les VIF avec les sous-réseaux joignables.