Ich habe eine EC2-Sicherheitsgruppe erstellt, die eingehenden Datenverkehr von einer privaten IP-Adresse im selben Konto zulässt.
Meines Wissens kann sich eine private IP-Adresse für eine klassische Instanz nach einem Neustart ändern. Daher könnte diese Regel nach einem Neustart ungültig sein.
(https://stackoverflow.com/questions/10733244/Lösung für lokale IP-Änderungen von AWS-EC2-Instanzen )
Ich möchte wirklich nur einen DNS-Namen als Quelle verwenden, aber das scheint nicht möglich zu sein. Ich kann die andere Instanz nicht anhand ihrer Sicherheitsgruppe referenzieren, da es nicht die richtige Gruppe ist und Amazon das Ändern von Sicherheitsgruppen nicht zulässt ...
Welche Möglichkeiten habe ich, um lokalen Datenverkehr zu einer Instanz von einer bestimmten IP-Adresse im selben Konto auf robuste Weise zuzulassen?
Antwort1
Erstens ändern sich private IP-Adressen nach einem Neustart nicht. Sie ändern sich, nachdem eine Instanz gestoppt und dann erneut gestartet wurde. Verschiedene Dinge.
Sie können ein AMI aus jeder EBS-gestützten Instanz erstellen. Suchen Sie im Aktionsmenü nach „Image erstellen“. Wenn Sie dies tun können, stellen Sie das AMI erneut in einer dedizierten Sicherheitsgruppe bereit und verwenden Sie diese Sicherheitsgruppen-ID dann als Quelle in Ihrer sekundären Sicherheitsgruppe. Dann haben Sie keine Probleme mit dem Ändern von IP-Adressen.
Wenn die Option „Image erstellen“ nicht angezeigt wird, verfügen Sie über eine vom Instance Store gesicherte Instanz. Diese sind flüchtig (d. h. temporär), sodass Sie nur begrenzte Möglichkeiten haben, sie zu verschieben oder zu kopieren.
Wenn Sie planen, einen Server langfristig zu nutzen, müssen Sie ihn unbedingt als EBS-gestützte Instanz einrichten und in einem VPC und nicht in Classic EC2 bereitstellen.
Antwort2
Sie können beide Instanzen zu einer Sicherheitsgruppe hinzufügen und diese Gruppe als Quelle angeben oder die Sicherheitsgruppe dieser bestimmten Instanz angeben. Wie in der AWS-Dokumentation angegeben:
http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-network-security.html
One or the following options for the source (inbound rules) or destination (outbound rules):
[skip]
EC2-Classic: A security group for another AWS account in the same region
(add the AWS account ID as a prefix; for example, 111122223333/sg-edcd9784)
When you specify a security group as the source or destination for a rule, the rule affects all
instances associated with the security group.
For example, incoming traffic is allowed based on the private IP addresses
of the instances that are associated with the source security group.
p.s. es gibt immer noch eine Möglichkeit, die Sicherheitsgruppe zu ändern, allerdings mit einigen Ausfallzeiten: Instanz stoppen, AMI erstellen, neue Instanz in neuer SG starten