Разрешить только определенный AWS HTTP и HTTPS запрос от группы безопасности

Question

Я хочу отключить интернет-соединение от EC2, чтобы пользователь не смог подключиться к Интернету, но одновременно я хочу разрешить внутренние (Boto / Boto3) HTTP / HTTPS-вызовы на AWS.Как я могу добиться этого с помощью группы безопасности?

Answer 1

Вы можете использовать Диапазоны IP-адресов AWS - Amazon Web Services , чтобы получить список IP-адресов, используемых Amazon для каждого региона.

Вы можете добавить соответствующие IP-адреса в SecurityСгруппируйте так, чтобы разрешались только исходящие соединения с этими адресами.

В качестве альтернативы:

• Если вы хотите получить доступ к Amazon S3 или Amazon DynamoDB, вы можете использовать VPC Endpoint for AmazonS3
• Если вы хотите получить доступ к Amazon EC2, Elastic Load Balancing (ELB), Kinesis Streams, каталогу услуг или EC2 Systems Manager, вы можете использовать AWS PrivateLink для сервисов AWS

Они позволяют направлять запросы от VPC непосредственно к услуге, не выходя через интернет-шлюз.Безопасность обеспечивается таблицей маршрутов (которая отправляет трафик в другое место назначения), а не группой безопасности (которая блокирует трафик).

Answer 2

В пределах VPC. Если у вас есть частная подсеть и вы хотите, чтобы ваш EC2 в частной подсети мог обмениваться данными с Интернетом, вы можете использовать NAT-шлюз, который вам нужно найти в публичной подсети из вас.VPC (с маршрутизируемым IP-адресом в Интернете, т.е. назначьте ему EIP), затем вы добавите NAT в ваши Правила маршрутизации в вашей Частной подсети (назначение может быть 0.0.0.0/0с целью NAT), где ваш EC2 из своей частной подсети может маршрутизировать трафик на шлюз NAT, расположенный в общедоступной подсети.Однако обратите внимание, что за NAT (который маршрутизируется к интернет-шлюзу) именно ваш экземпляр EC2 может инициировать связь со службами в Интернете.Как и любые другие системы за NAT, Интернет не может инициировать связь с внутренней сетью, если он не является реакцией на инициированную связь с вашим экземпляром EC2.Если у вас есть библиотека в экземпляре EC2 за NAT-шлюзом, вы можете начать внешнюю связь.PS: Вы можете определить правила NACL для подсети, в которую вы помещаете свой NAT-шлюз, для дальнейшего усиления доступа к сети.

Answer 3

Если вы используете ec2-vpc , это позволяет вам добавлять отдельные входящие и исходящие правила в вашу группу безопасности, но ec2-classic поддерживает только входящие правила.