卓：沒有規則的默認安全組？

Question

我正在AWS上設置VPC。 它有一個公共子網和兩個私有子網。 公共子網用於Web服務器。 專用子網用於高可用性數據庫。 我使用安全組而不是網絡ACL來保護資源。

創建VPC時創建的默認安全組允許所有出站流量，並且僅允許來自VPC中其他子網的入站流量。 我不確定將來要部署哪種服務器-更多的Web服務器，更多的RDS實例，以及其他？ 鑒於此，我認為我的默認安全組應不允許任何入站或出站流量。 那有意義嗎？

這樣，如果在啟動實例時忘記顯式選擇安全組，則服務器與所有其他資源隔離。

Answer 1

根據您的設計，建議的安全配置為：

• 將您的負載均衡器放在公共子網中 ：它是面向公眾的
• 將您的Web服務器放置在專用子網中 ：通過從Internet刪除直接訪問來確保它們的安全

這樣，如果您在私有子網中啟動將來的實例，則比在公共子網中啟動更安全。 因此，安全組是額外的安全層 。

鑒於您的目標是實現高可用性，因此還可以將Web服務器分布在多個可用區中 。 一種簡單的方法是使用Auto Scaling ，它可以在可用區之間平均分配實例，並具有按需擴展/擴展以滿足需求，同時最大程度地降低成本的優勢。

有關示例架構，請參閱AWS Architecture Center中的Web應用程序托管參考架構。