服务器级防火墙和 AWS 安全组之间的区别？

Question

我想知道是否有人可以提供一些有关区分服务器防火墙和 AWS 安全组的背景知识？

Answer 1

安全组是有状态的，因为自动允许回复流量。一个安全组可以应用于多个实例。应用后，可以即时更改规则，但您无法更改实例所在的组。安全组在管理程序级别强制执行。

网络 ACL 是无状态的，因为您必须为每个方向指定规则。NACL 适用于一个或多个子网。规则可以随时更改。NACL 应用于网络级别。在某些情况下，您必须明确添加更高的端口以允许回复 - 请参阅此处。

在实例上运行的软件防火墙在操作系统内运行，因此会占用您的 CPU 周期。我个人不会在 AWS 中使用这些，因为提供的功能已经足够了。

传统的硬件防火墙不能在 AWS 中使用，但等效的是 NACL。

我主要使用安全组，因为它们最容易使用。如果您的实例有大量额外流量，理论上您可以通过添加 NACL 来减少机器正在执行的工作。两者都使用是矫枉过正，但不会造成伤害，并且可能会稍微提高您的安全性。