具有主机/动态IP / DNS的Amazon EC2安全组

Question

我正在寻求关于采用动态IP的EC2安全组和服务的最佳方法的一些指导。我想利用SendGrid，Elastic Cloud等服务，它们都使用dyanmic IP over 80/443端口。但是，除了列入白名单的IP之外，端口80/443的访问权限已关闭。到目前为止，我找到的解决方案是：

1. CRON用于ping服务，获取IP并通过EC2 API更新EC2安全组。
2. 创建新的EC2以充当代理，并打开端口80/443。新服务器与Sendgrid / ElasticCloud通信，检查响应并将部件返回主服务器。

还有其他更好的解决方案吗？

Answer 1

首先，请记住AWS中的安全组是stateful，这意味着，例如，如果您向所有目标（{{1}）打开端口80和443在您的出站规则中，即使没有针对给定IP的入站规则，您的EC2计算机也能够连接到远程主机并获得响应。

但是，只有当连接始终由EC2实例启动并且远程服务只是响应时，此方法才有效。如果您需要从外部启动与EC2实例的连接，则需要在安全组中指定入站规则。如果您知道其公共IP地址的CIDR块，则可以解决该问题，因为您可以将其指定为安全组规则中的目标。如果您不知道要到达您的计算机的主机的IP范围，那么网络级别的访问限制是不可行的，您需要实现请求者的某种形式的授权。

P.S。另请注意，每个安全组的默认默认值为50 inbound or outbound rules。