amazon-web-services - 是否在 EC2 实例本身上配置了 AWS 安全组？

Question

我最近使用AWS Console-Security Groups将我的默认 ssh 端口从 22 更改为nnnnn。但是，重新启动实例后，我发现我无法使用以下方法访问我的实例：

ssh -p nnnnn -i $HOME/path_to_my_key.pem ubuntu@elastic_ip_address

为了让它工作，我不得不恢复使用端口 22 以访问实例并编辑/etc/sshd_config以将端口分配设置为nnnnnn。

我的问题是：

(a) AWS 安全组在什么级别控制端口访问？实例级别还是网络级别？

(b) 如果在网络级别，我是否还应该配置实例级别的防火墙？

Answer 1

安全组是一种网络功能。它们控制对实例本身开放的端口。

一些 AMI 还运行软件防火墙（想到 redhat）。虽然有些多余，但它可以提供安全组防火墙无法提供的功能。

防火墙设置仅控制打开哪些端口以及对谁开放。它们不会影响每个服务正在侦听的端口。您必须直接使用服务进行配置。

Answer 2

安全组不是实例级别的，它只是实例周围的一层防火墙。