Ограничить группы безопасности aws в кластере kubernetes

Question

Я создал свой кластер kubernetes с указанной группой безопасности для каждого типа сервера ec2, например, для внутреннего сервера, с которым у меня связаны backend-sg и node-sg, который создается с кластером.

Теперь я пытаюсь ограничить доступ к своему внутреннему ec2 и открыть только порт 8090 как входящий, а порт 8080 как выходной для определенной группы безопасности (давайте назовем это frontend-sg).

Мне удалось это сделать, но при изменении входящего порта на 8081, чтобы проверить, действительно ли действуют эти ограничения, я все же смог получить доступ к порту 8080 из frontend-sg ec2.

Я думаю, что что-то упустил ... Любая помощь будет оценена

Answer 1

Любая помощь будет оценена

Я попытаюсь проиллюстрировать ситуацию в этом ответе, чтобы сделать его более понятным. Если я правильно понимаю ваш случай, вот что у вас есть:

Теперь, если вы попробуете порты из экземпляра Frontend EC2 в экземпляр Backend EC2, и они находятся в одной группе безопасности (node-sg), у вас будет трафик там. Если вы хотите проверить изоляцию группы, у вас должен быть один экземпляр за пределами node-sg и только в frontend-sg, предназначенный для любого экземпляра в backend-sg (предполагается, что и node-sg, и backend-sg не разрешают указанные порты для входящего трафика ) ...

Наконец, небольшая заметка ... Kubernetes по умолчанию закрывает весь трафик (и вам нужен вход, loadbalancer, прокси восходящего потока, nodePort или некоторые другие средства для фактического предоставления ваших фронтальных сервисов), поэтому традиционная точная настройка backend / Экземпляры внешнего интерфейса и группы безопасности не так уж и «чисты» при использовании k8s, тем более что вы на самом деле не хотите планировать вручную (или по меткам), какие модули будут работать (но вместо этого оставьте это для планировщика k8s для лучшего унификация ресурсов).