使用安全组限制 AWS EC2 出站流量

Question

我想限制我的 EC2 实例的出站流量，只允许出站连接到 AWS 服务，例如 ECR、EFS。 但是这些服务没有 static ip 地址，所以我无法将其添加到安全组中。 有没有一种我错过的通用方法来做到这一点？

Answer 1

执行此操作的标准方法是在私有子网中运行您的实例并使用VPC 终端节点提供对 AWS 服务的访问。

但在迈出这一步之前，你试图克服的威胁是什么？

Answer 2

您不会对Security Groups这样做。 您可以使用IAM role执行此操作。

Answer 3

我知道这是一个非常非常古老的问题，在试图自己解决这个问题时偶然发现了这个问题。 默认情况下，AWS 安全组允许所有出站流量。 出站流量可以被阻止

• 删除默认允许所有出站流量到 0.0.0.0/0 规则
• 向特定 IP 地址和端口添加规则

Answer 4

有些服务会公开其 IP，如 EFS、FSx、RDS 等，在这种情况下，IP 至少会出现在 EC2 页面上的“网络接口”中，以便您可以应用安全组规则。

在某些情况下，例如 EFS，它甚至会要求您在创建期间应用 SG。 如果 ECS 不使用 Fargate，则它会部署 EC2 实例。 ECR 在应用层受到限制，但您可以使用策略进一步限制/允许 IP 。

因此，总有一种方法可以知道允许/限制的 IP 或一种方法，如果该服务没有 IP，那么是的，您将无法将其添加到安全组，但攻击者获胜也可以针对它。

对于您的实例必须联系哪些 AWS 服务才能工作，默认情况下允许使用这些服务， 请参阅 AWS 文档：

Amazon 安全组和网络 ACL 不会过滤发往和来自以下 Amazon 服务的流量：

• 亚马逊域名服务 (DNS)
• 亚马逊动态主机配置协议 (DHCP)
• Amazon EC2 实例元数据
• 亚马逊Windows授权激活
• 亚马逊时间同步服务
• 默认 VPC 路由器的预留 IP 地址

因此，您不可能（意外地）限制对 AWS 内部服务（例如 IAM）的访问。