使用ECS时保护EC2实例的出站流量规则

即使我在私有子网中创建EC2实例，如果要将流量注册到ECS群集，它们也必须能够将流量发送到Internet。使用ECS时保护EC2实例的出站流量规则

我正在使用NAT网关来做到这一点，但我仍然觉得这些实例在接管的情况下可以将私人信息发送到任何地方。

什么是我可以用于实例安全组的最紧凑的CIDR范围，而不是0.0.0.0/0？

2016-07-14 kingkong

似乎类似的功能将可使用soonish VPC端点，您可以创建端点后，你将限制出站流量到特定的服务：http://docs.aws.amazon.com/ AmazonVPC/latest/UserGuide/vpc-endpoints.html＃vpc-endpoints-security –

目前，您可能不得不依靠list of public IP address ranges for AWS，允许所有与您所在地区相关的CIDR块的流量限制。

对于很多东西，AWS不依赖于他们的服务端点不依靠静态地址assigments，而是使用DNS的能力弹性设计的一部分......但他们的服务端点应该永远是地址关联与您的地区，因为很少有服务违反他们的做法严格区域分离的服务基础设施。

（CloudFront的，路线53和IAM做，也许别人，但这些供应端点，不可操作的。这些配置只端点并不需要被访问对于大多数应用程序正常运行。）

2016-07-14 11:26:36

好的答案Michael，不知道公开可用的AWS地址范围列表，这非常方便。 –

这里的一个超级通用模式是在狭窄的CIDR中创建代理，并且只允许出站流量通过代理。将AWS端点列入白名单并记录流经代理的所有流量以进行监视/审计。

2016-12-24 14:10:31 freefood89

回答