Группа безопасности для частной подсети и общедоступной подсети (оба EC2)

Question

У меня есть две подсети, публичная и частная.Веб-сервер на EC2 находится в общедоступной подсети, а база данных MySQL на сервере EC2 - в частной подсети.Мы решили не использовать RDS.

Для RDS правило для входящих подсетей для частной подсети - «MySQL / Aurora».Что должно быть, если MySQL находится на экземпляре EC2 в частной подсети?

Я пытаюсь сделать его максимально безопасным.

Answer 1

Вы должны использовать две группы безопасности:

• Application-SG: Разрешить входящий доступ к вашему приложению (например, порт 80 443).Свяжите группу безопасности с серверами приложений.
• Database-SG: Разрешите входящий доступ для MySQL через порт 3306 с источником, установленным в Application-SG ,Свяжите группу безопасности с экземпляром, на котором выполняется база данных.

То есть, Database-SG разрешает входящий 3306 трафик от Application-SG.Это разрешит входящий трафик с любых серверов приложений, связанных с Application-SG.

Кстати, вы действительно должны рассмотреть возможность использования RDS, даже если только для упрощения резервного копирования.

Answer 2

Это одно и то же.«MySQL / Aurora» - это только метка для порта 3306.

Затем вы можете использовать ту же группу безопасности для RDS или самоуправляемого сервера MySQL на EC2.