扒一扒这两天有关阿里云经典网络安全性的争论
这两天阿里云经典网络安全性的讨论得到了 IT 圈广泛关注，对此事还未或略有耳闻的吃瓜群众，不妨随扒爷一起全程围观一下吧。
阿里云不同租户不隔离？
2 月 24 日，微博《关于阿里云经典网络的问题》表示收到了阿里云官方的回复，点燃了新一波热议。
作为曾在阿里巴巴任职的技术专家，左耳朵耗子称，他 2013 年在阿里商家业务部做聚石塔期间发现阿里云的内网多个租户居然是通的。最后的方案是给聚石塔的租户设置安全组。由于设置的很死，但用户又需要在自己的集群中相互通信，所以，当时的解决方案是，需要用户申请，才开 3000-3100 的端口范围。
注：当时的阿里云是不让用户编辑安全组的，内网是全互通的。如果我没有记错，到了我快要离开阿里的时候（2015 年）才让用户可以编辑安全组的。
也就是说，按左耳朵耗子的说法，在早期阶段阿里云的内网是存在一段时间能够互通的。
另外，经典网络本身存在安全问题：
1）这种网络结构从设计上不可避免的把多个租户放在同一个内网网段！所以，物理层面上来说就是通的！
2）动用安全组来隔离用户是一种相当复杂的事，复杂的东西就容易出错！因为，网络隔离的手段只有配置安全组。所谓安全组就是 iptables 的配置！而且是在每台宿组机上配置，大家可以想一下，一台机器可以配置多少这样的规则？这是有限制的！而且是在管理上的很复杂的，不但对用户来说很复杂，我相信对阿里云的开发和运维来说也非常复杂！
因此，即便使用了安全组，也无法避免地存在问题。
左耳朵耗子称，使用 nmap 就能在内网扫到大量主机，可以 ping 通，可以 telnet，甚至可以登录，这为黑客留下非常方便的入口：
1） 我本来在公网上扫端口，我分不清哪些 IP 地址是服务器的，现在好了，上阿里云内网里扫一下，100% 都是服务器，效率提高很多啊。
2）另外，经典网络的 IP 还都是连续的，这太 TMD 的爽了！
3）我再打个 route 命令看一下路由表，原来还有好多别的内网网段哦。
4）最爽的是，在内网发起攻击，带宽好快啊，而且可能还没安全监控哦……
5）要是运气好，说不定我还能搞定阿里云的控制系统……
我是说，在座的各位……
昨日，前阿里云高级安全专家、知名云安全研究者 @安全_云舒愤然表示——你们都错了！《租户隔离科普文，阿里云经典网络问题续》：
先说结论：从 2009 年至今，阿里云不同租户一直默认是隔离的。
我的安全哲学是在安全这个专业领域用户是 sb（这里的 sb 用户也包括资深的开发人员在内，区别在于小白知道自己不懂，资深的开发人员则以为自己懂），安全得由我这种专业人士保护。所以可以看见，我设置的策略是不人性化的，是死规矩是一刀切。在安全领域，用户的资产也得由我说了算。
文中提及为了用户的方便，原本相互隔离的租户在 2015 年之后允许用户设置允许一切 IP 访问自己的安全组，现在的策略是合适的，但却不能保证绝对的安全。这也就是为什么有些网友觉得自己找到了漏洞所在。
接下来云舒对耗子的第一篇文章表达了强烈的不满，他认为耗子作为一个知名技术博主，说出“anyway 实现细节不重要”这样的话是有失水准的。就算不提细节，耗子“VPC 是通过 hack 底层的虚拟化系统完成的”的说法也欠考虑的，明显耗子在这场辩论中已完全落败。
而关于 VPC，云舒给出了自己的理解。
首先云计算 VM 是讲究漂移的，有因为故障发生的漂移，也有因为用户主动发起的跨区域的漂移。漂移过程中要求保证业务尽量不中断，则需要保证 vm 的 ip 地址、mac 地址不变，这就意味着需要一个巨大的二层网络，甚至是跨区域的。而二层网络越大，交换设备的 cam 表压力也越大，甚至爆掉，arp 之类的广播风暴也越严重，所以要把 vm 层面的一些东西对物理交换机屏蔽掉，分层处理。
其次，VPC 给用户一种很好的体验，延续传统网络时代自己组网自己规划的那种感觉，当然也可以更灵活的设计自己想要的东西，甚至形成 service chain。
随后云舒对于耗子的第二篇文章中的论点进行了“解答”和“挑战”。
“当时有一个很大的安全问题是——阿里云的内网多个租户居然是通的。”
不知道耗子知道不知道，因为一些我不方便说的原因，聚石塔是由淘宝维护负责的电商云，其实是属于同一个租户的！同一个租户，当然是互通的啊。我不知道耗子是知道那个原因不说，因为知道我不可能说，还是真不知道——按说你当时也 P9，应该知道吧。不说这个，但是至少，聚石塔所有的 vm 是属于同一个租户的，你也不知道么？那你负责聚石塔是怎么负责的？也是“anyway，细节不重要”？
也许事情到这里也差不多告一段落了，耗子昨日下午在微博也做出了言和回应——初衷也是好的，只是没有深入研究，还不小心踢到了钢板……
*本文作者：安全深扒，转载请注明来自 Freebuf.COM
