Konfiguruję kilka instancji EC2 na wspólnym koncie AWS i chcę im umożliwić dostęp. Jednocześnie chcę zabronić dostępu z innych instancji na koncie.
Utworzyłem grupę zabezpieczeń i dodałem dostęp SSH z „Mojego IP” do logowania i to działa dobrze.
Teraz muszę SSH między wszystkimi instancjami, ale nie mogę, mimo że wszystkie są w tej samej grupie zabezpieczeń .
Jak mogę to zrobić?
Odpowiedzi:
Więc konfigurujesz klaster w AWS i potrzebujesz dostępu SSH między węzłami, prawda? Masz 2 opcje:
Naiwnym jest dodawanie adresu IP każdego wystąpienia do listy przychodzących grup zabezpieczeń - ale oznacza to, że będziesz musiał aktualizować SG za każdym razem, gdy dodajesz nowe wystąpienie w klastrze. (Jeśli kiedykolwiek to zrobisz). Nie rób tego, wspomniałem o tym tylko dla kompletności.
Zdecydowanie lepiej jest użyć samego identyfikatora grupy zabezpieczeń jako źródła ruchu .
Ważne jest, aby zrozumieć, że SG to nie tylko filtr przychodzący, ale także oznacza cały ruch wychodzący - a następnie możesz odwoływać się do identyfikatora SG pochodzącego z tej samej lub innych grup zabezpieczeń.
Spójrz na domyślną grupę zabezpieczeń w swoim VPC. Najprawdopodobniej zobaczysz coś takiego:
Pamiętaj, że reguła odnosi się do samego identyfikatora grupy zabezpieczeń .
Dzięki tej regule wszystko, co pochodzi z dowolnego hosta, który jest członkiem grupy zabezpieczeń, zostanie zaakceptowane przez wszystkich innych członków / instancji w grupie.
W twoim przypadku możesz chcieć ograniczyć go do SSH, ICMP (jeśli potrzebujesz pingpracy) lub innych potrzebnych portów.
Sprawdź także kartę Wychodzące i upewnij się, że ma ona wpis Cały ruch do 0.0.0.0/0(chyba że masz określone potrzeby w zakresie bezpieczeństwa), w przeciwnym razie instancje nie będą mogły inicjować żadnych połączeń wychodzących. Domyślnie powinien tam być.
Mam nadzieję, że to pomoże :)
W konfiguracji grupy zabezpieczeń, której chcesz użyć, aby zezwolić na SSH między instancjami:
Należy dodać regułę, która włącza SSH, przy czym źródłem jest sam identyfikator grupy.
Na przykład, jeśli grupa jest id bezpieczeństwa sg-12345678można dodać regułę w tej samej grupie, która otwiera SSH z sg-12345678.
Upewnij się także, że karcie Wychodzące znajduje się reguła 0.0.0.0/0dla SSH lub przynajmniej w sg-12345678przeciwnym razie ruch wychodzący zostanie zablokowany. Domyślnie 0.0.0.0/0powinno tam być.