如何在 EC2 安全组中将 AWS IP 范围列入白名单？

Question

请帮忙

我们通过删除 0.0.0.0/0 并仅添加我们的 VPC 来阻止所有传出流量，以便我们的应用程序连接到 EC2

现在的问题是 EC2 本身无法与任何 AWS 服务通信；我们无法使用 SSM、更新我们的 RPM 等。..

我们根据遇到的错误添加了一些 IP 范围；我们担心这不是阻止出站连接的正确方法

谢谢，提前感谢您的支持

Answer 1

您实际上应该看看在您的 VPC 中尽可能使用 VPC endpoints。

如果您配置这些出站通信将通过接口端点所在的子网范围，S3 and DynamoDB 除外。

如果您使用这些服务中的任何一个，在安全组的出站中，您可以将这些服务的前缀列表的来源列入白名单。

这样做更易于管理（AWS IP 范围一直在变化），并且更加安全，因为出口位于 AWS 网络内，永远不会通过 public 互联网连接到服务端点。

如果这种方法不适合您，您需要subscribe to ip-range changes which would trigger a Lambda function. This Lambda function would access the ip-ranges.json file and retrieve all ranges valid for your application. These IP ranges would then be added to a customer managed prefix list您定义的方法。

前缀列表将添加为允许端口 443 (HTTPS) 出站访问的出站目的地，当然此方法需要您构建 Lambda 函数。