6、AWS 网络安全与本地连接全解析

AWS 网络安全与本地连接全解析

1. AWS 中的防火墙与网络安全基础

在操作系统和 AWS 中同时部署防火墙，能够有效减少应用程序的攻击面，且这一安全措施没有明显弊端。在现代操作系统的防火墙中实施适当的安全规则已有完善的文档记录，即使是经验不足的网络安全管理员也能轻松上手。以我个人经验来看，启用并配置操作系统的防火墙服务，能避免很多潜在问题，有时甚至无需进行复杂配置就能起到防护作用。

EC2 网络适配器采用的是弹性网络接口（ENI），其中有一种特殊的主网络接口会永久附加到实例上，在操作系统中显示为第一个网络接口，我们可据此定义规则。EC2 网络适配器的 IP 地址由 VPC 中的 DHCP 服务分配，分配依据是网络适配器所连接的 VPC 子网。因此，在 EC2 实例的防火墙规则中，切勿硬编码静态 IP 地址，因为其 IP 地址是动态变化的。

我们可以通过安全组控制每个 EC2 实例的进出访问。安全组能基本定义网络中哪些端口允许何种类型的流量通过。此外，还可借助网络访问控制列表（NACL）等安全功能进一步管控流量。

为全面控制对实例的访问，还需合理配置操作系统防火墙。操作系统防火墙的首要优势在于，它能保护实例免受安全组配置失误的影响，同时在操作系统边界提供额外的流量日志记录功能。在某些情况下，操作系统防火墙的配置可能与安全组不同。例如，当应用程序需要与其他实例保持通信以维护集群状态、复制数据或确定主节点时，就需要设置超出安全组范围的防火墙规则，开放特定端口以允许此类通信。但需注意，不能在实例上禁用防火墙，因为理论上，一个受攻击的实例可能会利用开放端口攻击其他实例。

2. 高级 EC2 操作系统安全

仅依靠基于端口的