Я встановлюю кілька екземплярів EC2 у спільному обліковому записі AWS і хочу надати їм доступ один до одного. У той же час я хочу заборонити доступ до інших примірників облікового запису.
Я створив групу безпеки та додав SSH доступ із "My IP" для входу в систему, і це добре працює.
Тепер мені потрібно SSH між усіма екземплярами, але я не можу, хоча вони всі в одній групі безпеки .
Як я можу це зробити?
Відповіді:
Отже, ви налаштовуєте якийсь кластер на AWS і вам потрібен SSH доступ між вузлами, правильно? У вас є 2 варіанти:
Наївним є додавання кожного IP-примірника до вхідного списку групи безпеки - але це означає, що вам потрібно буде оновлювати SG кожного разу, коли ви додаєте новий екземпляр у кластер. (Якщо ви коли-небудь робите). Не робіть цього, я лише згадував це для повноти.
Набагато краще , щоб використовувати Security Group ID безпосередньо в якості джерела трафіку .
Важливо розуміти, що SG - це не лише вхідний фільтр, але й теги всього вихідного трафіку - і потім ви можете звернутися до вихідного SG ID в тій же чи інших групах безпеки.
Перегляньте групу безпеки за замовчуванням у своєму VPC. Ви, швидше за все, побачите щось подібне:
Зверніть увагу , що правило відноситься до групи безпеки ID самому .
З цим правилом все, що походить від будь-якого хоста, який є членом вашої групи безпеки, буде прийнято всіма іншими членами / екземплярами групи.
У вашому випадку ви можете обмежити його на SSH, ICMP (якщо вам потрібно pingпрацювати) або будь-який інший необхідний вам порт.
Також перевірте Outbound вкладку і переконайтеся , що у нього є запис для всіх трафік на 0.0.0.0/0(якщо у Вас немає певних вимог до безпеки), в іншому випадку екземпляри не матимуть можливість ініціювати будь-які вихідні сполуки. За замовчуванням він повинен бути там.
Сподіваюся, що це допомагає :)
У конфігурації групи безпеки, яку ви хочете використовувати, щоб дозволити SSH між примірниками:
Вам слід додати правило, яке дозволяє SSH, джерелом якого є сам ідентифікатор групи.
Наприклад , якщо ваш ідентифікатор групи безпеки sg-12345678ви можете додати правило в тій самій групі , яка відкриває SSH з sg-12345678.
Також переконайтесь, що на вкладці " Вихідні " є правило 0.0.0.0/0для SSH або принаймні знову, щоб sg-12345678інакше вихідний трафік був заблокований. За замовчуванням це 0.0.0.0/0повинно бути там.