AWS VPC SSH安全組配置

Question

我正在AWS上設置測試VPC，以了解我如何喜歡不同的配置。

使用默認方案2配置：

http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_Scenario2.html

我不確定訪問子網成員的最佳實踐過程是什么。 您可以先進入NAT，然后再進入子網中的實例，但這當然需要在NAT上擁有該實例的pem密鑰，這讓我感到不舒服。

我是否想念安全組的配置，是否應該能夠直接通過SSH進入子網成員？

Answer 1

通常，專用VPC子網中的實例沒有從Internet的入站訪問，因此無法直接訪問。 您可以將彈性IP分配給專用子網中的實例，入站流量將被路由到該實例。 但是，出站返回流量永遠不會到達源，因為NAT不會路由非對稱流量。

通過SSH訪問這些系統至少有兩個選項：

1. 在公共子網中使用堡壘主機可以跳轉到私有子網中的實例。 NAT可以充當此堡壘，或者您可以設置另一個實例。 您可以在堡壘上使用私鑰，也可以在SSH配置中使用ForwardAgent選項來使用堡壘上的私鑰，而無需提供密鑰文件。
2. 使用VPN網關在網絡到VPC之間建立VPN。 允許從網絡的地址空間訪問VPC安全組中的私有子網中的實例。 然后，您可以SSH到私有實例，就像它們在您的網絡本地一樣。

如果您使用安全組規則，本地防火牆和其他標准系統安全技術充分加固了堡壘，則將私鑰留在堡壘主機上不會令您感到不舒服。