amazon-ec2 - 允许从 codeship 进行 SSH 访问 - 向 EC2 东海岸 IP 开放防火墙

Question

我正在尝试通过使用 Capistrano 样式脚本从 Codeship 实现自动部署，以允许它通过 SSH 连接到我的服务器并在我的测试通过后从我的 git 存储库中提取。问题是对服务器的 SSH 访问受到 IP 地址的限制，Codeship 建议您应该将防火墙开放到 AWS 用于其东海岸 EC2 实例的 IP 地址范围：https ://codeship.com/documentation /常见问题解答/启用访问服务器/

但是，我不确定是否要这样做，因为有大量 IP 地址：https ://ip-ranges.amazonaws.com/ip-ranges.json

我担心的是，除了这是一个乏味的过程（东海岸 EC2 有 43 个 IP 地址范围）之外，这是否不会破坏限制 IP 地址的目的，因为如果潜在的攻击者使用东海岸 EC2 实例？

Answer 1

假设您的实例托管在与 Codeship (us-east-1) 相同的区域内，那么您最好的选择是设置一个 EC2 安全组，如此处所述。

我很欣赏不是每个人都这样，所以假设您使用的是 iptables，那么我建议采用与CloudFlare 文档中描述的方法类似的方法，并设置一个通过 crontab 运行的 bash 脚本以保持当前的 ip 范围迄今为止，它们是否应该改变。

关于安全性，由于您向整个 AWS 区域开放端口，是的，攻击面增加了。听起来您已经禁用了密码验证，因此不太可能进行蛮力攻击，但是合理配置的 fail2ban 监狱应该可以解决大部分问题。