使用ECS时保护EC2实例的出站流量规则

Question

即使我在私有子网中创建EC2实例，如果我想将其注册到ECS群集，它们也必须能够将流量发送到Internet。

我正在使用NAT网关执行此操作，但我仍然感到不安全的是，实例可以在接管的情况下将私人信息发送到任何地方。

什么是最紧凑的CIDR范围，我可以用于实例的安全组，而不是0.0.0.0/0？

Answer 1

目前，您可能必须依赖AWS的公共IP地址范围列表 ，允许绑定与您所在区域相关的所有CIDR块的流量。

AWS的大部分功能的弹性设计的一部分依赖于其服务端点的能力， 而不依赖于静态地址分配而是使用DNS ...但是他们的服务端点应始终位于与您所在区域相关的地址上，因为非常很少有服务违反他们的做法严格区域分离服务基础设施。

（CloudFront，Route 53和IAM可能会执行其他操作，但这些是配置端点，而非操作端点。对于大多数应用程序而言，这些仅配置端点不需要可以正常运行。）

Answer 2

这里的一个超常用模式是在窄CIDR中创建代理，并且只允许出站流量流过代理。 白名单AWS端点并记录流经代理的所有流量以进行监控/审核。

AWS端点= https://docs.aws.amazon.com/general/latest/gr/rande.html