卓：没有规则的默认安全组？

Question

我正在AWS上设置VPC。 它有一个公共子网和两个私有子网。 公共子网用于Web服务器。 专用子网用于高可用性数据库。 我使用安全组而不是网络ACL来保护资源。

创建VPC时创建的默认安全组允许所有出站流量，并且仅允许来自VPC中其他子网的入站流量。 我不确定将来要部署哪种服务器-更多的Web服务器，更多的RDS实例，以及其他？ 鉴于此，我认为我的默认安全组应不允许任何入站或出站流量。 那有意义吗？

这样，如果在启动实例时忘记显式选择安全组，则服务器与所有其他资源隔离。

Answer 1

根据您的设计，建议的安全配置为：

• 将您的负载均衡器放在公共子网中 ：它是面向公众的
• 将您的Web服务器放置在专用子网中 ：通过从Internet删除直接访问来确保它们的安全

这样，如果您在私有子网中启动将来的实例，则比在公共子网中启动更安全。 因此，安全组是额外的安全层 。

鉴于您的目标是实现高可用性，因此还可以将Web服务器分布在多个可用区中 。 一种简单的方法是使用Auto Scaling ，它可以在可用区之间平均分配实例，并具有按需扩展/扩展以满足需求，同时最大程度地降低成本的优势。

有关示例架构，请参阅AWS Architecture Center中的Web应用程序托管参考架构。