为什么数据库安全组中的CIDR/IP可能与实例弹性IP不同？

Question

我有一个EC2实例,这是能够连接到我的RDS实例,但其弹性IP不会出现在DB安全组的许可IP在不在.

这怎么可能？

我问,因为我已经创建了一个新实例,我也希望将其列入白名单,只是输入其弹性IP似乎不是处理事情的方式,因为其他服务器都没有列出其弹性IP.

提前致谢,

Answer 1

这里可能有两个原因:

流量来源

安全组规则不一定仅将IP地址指定为流量源,而是定期引用其他安全组:

源可以是单独的IP地址(203.0.113.1),一系列地址(例如,203.0.113.0/24)或EC2安全组.安全组可以是您的AWS账户中的另一个组,另一个AWS账户中的组或安全组本身.

通过将安全组指定为源,您可以允许来自属于源安全组的所有实例的传入流量.[...]如果要创建三层Web服务,则可以在帐户中指定另一个安全组(请参阅创建三层Web服务).

[强调我的]

因此,您的Amazon RDS实例的数据库安全组可能会引用用于您的Amazon EC2实例的EC2安全组,这意味着已经存在相应的访问权限.请参阅我对AWS的回答- 从Beanstalk App配置对EC2实例的访问,以获取有关此概念/方法的更多详细信息.

公共IP地址与私有IP地址

您可能会看到AWS DNS基础架构的一个鲜为人知但又重要但非常有用的功能的影响,请参阅使用实例IP地址的页面上的公共和私有地址部分:

Amazon EC2还提供内部DNS名称和公共DNS名称,分别映射到专用和公用IP地址.内部DNS名称只能在Amazon EC2中解析.公共DNS名称解析为Amazon EC2网络外部的公共IP地址和Amazon EC2网络内的专用IP地址.[强调我的]

也就是说,当您在Amazon EC2网络内部使用公共DNS(例如ec2-xxx-xxx-xxx-xxx.compute-1.amazonaws.com)时,它将公共DNS(例如ec2-xxx-xxx-xxx-xxx.compute-1.amazonaws.com)解析为私有IP地址.在Amazon EC2网络外部使用时的IP地址.

因此,各种AWS产品通常是由他们的私有IP地址的手段,而不是外部因素有线了彼此之间的各种原因,最重要的网络速度和成本(见我的回答对AWS EC2弹性IP的带宽使用和费用的细节).

因此,Amazon RDS实例的数据库安全组可能会引用您的Amazon EC2实例的私有IP地址,从而相应地暗示相应的访问权限.