Co się stanie, gdy przypiszę wiele grup zabezpieczeń do instancji? Czy jest to dozwolone w tym sensie, że ruch jest dozwolony, jeśli którakolwiek z grup zabezpieczeń na to zezwala. LUB czy jest to ograniczenie w tym sensie, że każda grupa bezpieczeństwa musi zezwalać na ruch, aby mógł zostać przekazany?
Załóżmy na przykład, że mam klasę instancji, które będą rozmawiać tylko z innymi instancjami na tym samym koncie. Mam również klasę instancji, które akceptują ruch tylko przez HTTP (port 80).
Czy można ograniczyć dostęp do instancji wewnętrznych i tylko przez HTTP, tworząc i stosując dwie grupy zabezpieczeń:
- „Wewnętrzna” grupa bezpieczeństwa. Zezwól na cały ruch z innych członków tej grupy zabezpieczeń na wszystkich portach dla wszystkich transportów (TCP, UDP, ICMP)
- Utwórz grupę zabezpieczeń „http”. Zezwól na cały ruch do portu 80 przez TCP z dowolnego źródła.
LUB czy jestem zmuszony utworzyć pojedynczą grupę zabezpieczeń, która zezwala na ruch z portu 80, w którym samo źródło jest?
amazon-ec2
amazon-web-services
SFun28
źródło
źródło
Puszczalski.
Według AWS tutaj: http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-network-security.html#security-group-rules
źródło
Oto odpowiedź od obsługi dokumentacji AWS. Powiedzieli, że zaktualizują dokumentację:
Znalazłem kilka postów na forum dyskusyjnym, które dotyczą podobnych problemów ze sprzecznymi regułami w jednej lub kilku grupach zabezpieczeń:
https://forums.aws.amazon.com/thread.jspa?messageID=221768
https://forums.aws.amazon.com/thread.jspa?messageID=349244吼
Gdy do instancji zastosowano wiele grup zabezpieczeń, reguły są agregowane w celu utworzenia jednego dużego zestawu reguł. W EC2 reguły grup zabezpieczeń są dozwolone tylko, innymi słowy, nie można dodawać żadnych ODRZUCONYCH reguł. Oznacza to, że zawsze będzie obowiązywać najbardziej liberalna reguła. Na przykład jeśli masz grupę zabezpieczeń, która umożliwia dostęp do portu 22 z adresu IP 10.10.10.10, i inną grupę zabezpieczeń, która umożliwia dostęp do portu 22 od wszystkich, wszyscy będą mieli dostęp do portu 22 w instancji.
źródło
Po określeniu grupy zabezpieczeń jako źródła lub miejsca docelowego reguły reguła wpływa na wszystkie instancje powiązane z grupą zabezpieczeń. Ruch przychodzący jest dozwolony na podstawie prywatnych adresów IP instancji powiązanych ze źródłową grupą zabezpieczeń (a nie publicznych adresów IP lub elastycznych adresów IP). Aby uzyskać więcej informacji o adresach IP, zobacz Adresowanie IP wystąpienia Amazon EC2. Jeśli reguła grupy zabezpieczeń odwołuje się do grupy zabezpieczeń w równorzędnym VPC, a powiązana grupa zabezpieczeń lub połączenie równorzędne VPC jest usuwana, reguła jest oznaczana jako nieaktualna. Aby uzyskać więcej informacji, zobacz Praca z regułami Stale Security Group w Przewodniku komunikacji równorzędnej Amazon VPC.
Jeśli dla określonego portu istnieje więcej niż jedna reguła, stosujemy najbardziej dopuszczalną regułę. Na przykład, jeśli masz regułę zezwalającą na dostęp do portu TCP 22 (SSH) z adresu IP 203.0.113.1 i inną regułę zezwalającą na dostęp do portu TCP 22 każdemu, każdy ma dostęp do portu TCP 22.
Po powiązaniu wielu grup zabezpieczeń z instancją reguły z każdej grupy zabezpieczeń są skutecznie agregowane w celu utworzenia jednego zestawu reguł. Korzystamy z tego zestawu reguł, aby ustalić, czy zezwolić na dostęp.
Przestroga Ponieważ do instancji można przypisać wiele grup zabezpieczeń, instancja może mieć setki reguł, które mają zastosowanie. Może to powodować problemy podczas uzyskiwania dostępu do instancji. Dlatego zalecamy maksymalnie skondensowane zasady.
źródło