AWS 安全组：入站规则的来源与安全组名称相同吗？

Question

我有一个正在运行网站并关联 ALB 的 ec2 实例。

通常，作为 ec2 实例安全组内部的实践，会引用 alb 安全组，但这里客户端的配置方式是，在 ec2 实例内部，源是安全组本身的名称。

名称为 ec2 实例的安全组

sg-0bc7e4b8b0fc62ec7 - default

根据我对 aws 安全组的理解，在入站规则下，当涉及到源时，我们可以提及 IP 地址、CIDR 块或reference another security group.

但这对于入站规则意味着什么，其中所有流量、所有端口都被允许，但源 = sg-0bc7e4b8b0fc62ec7 / default。

我对使用与源相同的安全组名称感到困惑，这条规则意味着什么？

Answer 1

每个 VPC 都有一个默认安全组(SG)。在此 SG 中，入站规则允许来自“自身”的所有传入流量。这意味着

当您指定安全组作为规则的源时，将允许来自与指定协议和端口的源安全组关联的网络接口的流量。

换句话说，如果您有两个使用默认 VPC SG 的实例，它们只能相互通信。这两个实例都不允许有其他入站流量。

使用 SG 作为源是一种很好的做法，并且经常在负载均衡器 (LB) 及其实例之间或实例和 RDS 数据库之间使用。在第一种情况下，实例仅允许来自 LB 的 SG 的传入流量，而在第二种情况下，数据库实例仅允许来自实例的 SG 的传入连接。