AWS安全组-EC2至RDS

Question

我想问一下关于在AWS中连接EC2到RDP的问题。

我已经将我的EC2安全组（包含EC2实例）添加到默认的RDP组中，数据正在流动——连接正常。

EC2安全组启用了端口80到0.0.0.0/0以及SSH到我的IP。

我有点担心，通过将这个EC2组添加到RDS数据库，它将允许来自任何地方的端口80流量访问数据库。这是对的还是错的？

如果像这样连接RDS实例，EC2中的规则是否适用于它们？

我确实在AWS网站上读到“数据库安全组只允许访问数据库服务器端口”。有人能确认这是正确的吗？

谢谢你

Answer 1

我也有兴趣了解更多这方面的信息。实际上，我从未注意到“其他流量”进入RDS实例。总是假设只有DB端口被允许通过RDS实例。在我看来，允许其他车辆通过似乎有点奇怪。

总的来说，我认为这只是允许通过的原始安全组——它不会从您允许的安全组继承规则。

我认为这与添加来自另一个安全组的入口是一样的，因为它允许来自该安全组的流量通过，但不允许恰好符合安全组中某个规则的流量。（这与在引导时为实例分配安全组不同，因为所有匹配的流量都将被允许：而不是来自在引导时分配的所述安全组的流量）。

• SGs：

• InstanceA有安全组：WEB、DB、HQ_访问

• RDS实例允许来自DB SG的任何流量，这将允许RDS与InstanceA通信，但不与InstanceB通信，并且不允许任何其他流量。如果出于某种原因，您添加了对RDS实例的安全组WEB或HQ_访问，它将不允许端口80或22流量通过，但将允许InstanceA本身通过适当的DB端口与其通信

注意：安全组很容易混淆，所以我希望这能有所帮助

Answer 2

您不必担心RDS服务器上会打开其他端口。

在RDS DB安全策略中使用EC2安全组时，它被视为访问控制列表。

基本上，您所说的是，您希望让属于特定EC2安全组的任何实例使用该DB安全组策略访问RDS实例。

EC2安全组中定义的具体规则并不重要。

这种行为基本上只是为您提供了一种方便的方法，可以轻松地允许从具有某种公共关联（其安全组）的服务器集群进行访问。