在VPC和EC2之间使用共享安全组

Question

我是AWS新手，需要大师的帮助！

问题1：

我需要了解为您的VPC和EC2实例创建独立安全组的目的。我读过AWS建议创建独立组，但我不明白它背后的信念。

问题2：

是否有独立的安全组会过滤掉VPC层的传入流量，并拒绝未定义规则的请求。

问题3：

考虑我有两个安全组，

安全组 - EC2 - 允许SSH和ICMP流量的入站规则
安全组 - VPC - 未配置入站规则。

即使我的VPC没有定义安全组，我是否能够连接到EC2实例？

提前谢谢！

Answer 1

AWS仅提供两种类型的安全组：

• VPC-EC2安全组
• EC2-Classic安全组

EC2-Classic实例不在VPC中，因此它们不受VPC-EC2安全组的影响。

您在安全security whitepapers的第39页上引用的表显示了不再提供的旧服务（EC2-Classic和VPN Classic）与当前默认服务（EC2-VPC）之间的差异。在当前格式中，您的安全组在实例级别应用于所有连接的实例。您可以使用VPC级别的路由表和网络访问控制列表来增强安全性。

如果您的帐户是在2014年之后创建的，则无需担心经典服务。

我希望这会有所帮助。

编辑1：

我想澄清安全组是否在附加服务上工作。因此，可以让安全组在多个实例上工作。将多个实例附加到安全组时，您可以在不同实例上使用相同规则执行多个安全组。它可以节省时间，确保其他服务之间的连接安全，以及组织优势。例如，您可以拥有一个允许所有传入的http流量的安全组，但您可能只想将ssh流量转换为特定的实例。

下面的图表帮助我更好地理解了这一点。下面提到的VPC安全组只是附加所有实例的另一个安全组。它显示所有实例都附加到它。在此特定示例中，安全组允许连接到该安全组的所有实例之间的通信。

您可以找到此图表来自here的问题 看看我的第三个来源。它有一个很好的安全组图表。

来源：

1. Moving away from ec2-classic - dzone

2. Amazon EC2 and Amazon Virtual Private Cloud

3. Security Groups vs Network Access Control Lists