AWS 出站 ACL 规则对传入 ssh 连接的影响

Question

我正在 AWS EC2 实例中的 CentOS 7 上制作堡垒 ssh 服务器。当我在其 ACL 中使用以下规则时，我能够很好地连接到服务器：

入境规则

• 允许来自客户端 IP 的端口 22 上的流量
• 阻止所有其他流量

出站规则

• 允许所有流量到我客户的 IP
• 阻止所有其他流量

AWS ACL 规则与 iptables 粗略相似；它们可能只不过是亚马逊云基础设施中实现的一组 iptable 规则的简化 Web 界面。

我的理解是，出站规则集适用于从服务器发出的任何数据包——无论连接的哪一端发起了连接。

此外，我的理解是，当使用客户端发起的连接时，我的 ssh 服务器只会通过端口 22 发送 ssh 流量。

但是当我使用以下规则集时，我无法再通过 ssh 连接到我的服务器：

入境规则

• 允许来自客户端 IP 的端口 22 上的流量
• 阻止所有其他流量

出站规则

• 允许端口 22 上的流量到我客户端的 IP
• 阻止所有其他流量

AWS 可以阻止流量的所有其他功能都已设置为允许所有流量；iptables 也已设置为允许实例操作系统中的所有流量。

当服务器上的出站流量限制为端口 22 时，为什么我的客户端无法建立 SSH 连接？

Answer 1

AWS 中的 ACL 是一个无状态防火墙，这意味着它将所有请求（入站或出站）视为独立的连接。因此，如果您尝试允许从客户端访问服务器的 22 端口，则需要同时启用（入站到服务器的 22 端口 + 出站到客户端的随机 [1024-65535] 端口）双方的连接.

然而，如果您正在处理“安全组”，则只需要允许入站到端口 22。这只是因为“安全组”是一个有状态的防火墙并且它会跟踪入站连接，因此您不需要明确允许到客户端随机 [1024-65535] 端口的出站连接。