Benötigen wir in AWS EC2 sowohl Sicherheitsgruppen als auch eine serverseitige Firewall?

Question

EC2-Sicherheitsgruppen sehen toll aus, aber ich bin ziemlich neu im AWS-System, deshalb stelle ich diese Frage. Muss ich auch eine Server-Firewall einrichten, wenn ich eine AWS-Sicherheitsgruppe habe? Mein Hauptpunkt ist, ob im AWS-System andere Konten auf meinen Server zugreifen können. Denn wenn sich alle AWS-Konten in Sicherheitsgruppen befinden, ist internes Hacken möglich??? Beispiel: Mein Server ist www.abc.com und eine andere Person hat ein Serverkonto (www.hello.com), also kann der Server hellow.com über Ports auf meinen Server zugreifen, die nach Sicherheitsgruppen gefiltert sind???

Answer 1

AWS-Sicherheitsgruppen sind wie eine Firewall für eine EC2-Instanz, und meines Wissens (und getestet) können zwei Maschinen innerhalb desselben VPC die Ports in ihrem internen Netzwerk nicht sehen, es sei denn, Sie ändern Ihre Sicherheitsgruppenrichtlinie.

z.B

EC2 www.abc.com mit privater IP 10.10.10.5/24 EC2 www.hello.com mit privater IP 10.10.10.6/24

Sie befinden sich im selben Netzwerk, können jedoch ihren Port 22 nicht sehen, es sei denn, Sie fügen in ihrer Sicherheitsgruppe eine eingehende Regel für das Netzwerk 10.10.10.0/24 (oder die Hosts 10.10.10.5, 10.10.10.6) hinzu.

Beachten Sie bitteDas, Sicherheitsgruppenrichtlinien werden auf EC2 und nicht auf VPCs angewendet:

Wenn Sie eine Instanz in einer VPC starten, können Sie der Instanz bis zu fünf Sicherheitsgruppen zuweisen. Sicherheitsgruppen wirken auf Instanzebene, nicht auf Subnetzebene. Daher kann jede Instanz in einem Subnetz in Ihrer VPC einem anderen Satz von Sicherheitsgruppen zugewiesen werden.

Bezüglich Ihrer Frage: Brauche ich in meiner EC2-Instanz zusätzlich zu meinen Sicherheitsgruppen eine Firewall (z. B. IPTables)? Die Antwort hängt davon ab, wie viel Zeit Sie mit der Konfiguration der Sicherheit verbringen möchten und was Sie benötigen. Beides ist sicherer und kann sich ergänzen. Mit IPTables (oder jeder anderen Firewall) können Sie mögliche Angriffe protokollieren und sogar dynamische Regeln hinzufügen. Wenn Sie jedoch nur einige Ports blockieren möchten, würde ich nur die Konfiguration von Sicherheitsgruppen verwenden. Sie sollten Folgendes überprüfen:Das