保护AWS ECS集群

Question

我们正在尝试创建ECS群集，但是我们注意到内部ECS代理无法注册。 我们取消阻止了TCP 443（ACL和SG），但是它仍然没有注册。 然后，我们继续打开所有所有流量，包括TCP和UDP，然后代理能够注册。

我们试图调查使用FlowLogs使用的内容，但似乎代理每次都使用一个随机端口和一个不同的IP，这几乎使我们无法通过代理保护网络。 我们尝试并进行了大量搜索，以获取有关ECS代理如何正确运行以及需要什么才能正常运行的文档。

我们想要实现的是保护我们的网络安全，同时允许代理根据需要运行。 也许更好的问题是ecs-agent试图确切使用哪个端口以及我们应该允许该流量来自/进入哪个IP？

从仅仅1个小时的时间流日志中，可以看到来自世界各地的IP试图攻击服务器，因此不区分优先级就没有意义。

Answer 1

ECS代理需要传出Internet访问权限以将其自身注册到群集。

请尝试以下步骤：

• 检查EC2实例上的安全组，以确保它们允许出站流量。
• 检查您的ECS实例运行所在的VPC配置，并确保它们具有Internet访问权限。
• VPC路由表以确保将其路由目标0.0.0.0/0路由到Internet网关。
• 检查您的ACL规则，并确保您的出站规则与您的入站规则匹配-这已使我难过几次！