mongodb - EC2 安全组中的禁止规则不会影响已建立的 MongoDB 连接

Question

是这样的:

1. 实例 X 能够在 TCP 端口 27017 上连接实例 Y(EC2 安全组允许)
2. X 有 mongo shell
3. Y 运行 MongoDB，接受来自端口 27017
上的 X 的连接
4. 从 X，使用 mongo shell 连接到 Y
上的数据库实例
5. 从 X 上的这个 mongo shell session ，从 Y 查询并插入到 Y。一切顺利。
6. 更改Y的安全组:去掉#1中提到的27017端口规则
7. X 仍然可以查询/插入到托管在 Y 上的 DB。这不是预期的。
8. 在 X
上退出 mongo shell session
9. 再次尝试第 4 步，但失败了。这是正常的，也是意料之中的。

预计 EC2 网络防火墙将终止违反规则(安全组策略)的连接。

你能解释一下上面的#7是怎么发生的吗？以及如何避免这种情况(所以当时 X 无法对 Y 做任何事情)？

谢谢。

Answer 1

Expectation is that EC2 network firewall will terminate connections that violate the rules

你在这里做了一个假设。这可能是您对它应该如何工作的期望，但是官方 AWS 文档中的哪个地方支持呢？我建议阅读文档，而不是对它的工作原理做出假设。

来自 the documentation :

An existing flow of traffic that is tracked may not be interrupted when you remove the security group rule that enables that flow. Instead, the flow is interrupted when it's stopped by you or the other host for at least a few minutes (or up to 5 days for established TCP connections). For UDP, this may require terminating actions on the remote side of the flow. An untracked flow of traffic is immediately interrupted if the rule that enables the flow is removed or modified. For example, if you remove a rule that allows all inbound SSH traffic (0.0.0.0/0) to the instance, then your existing SSH connections to the instance are immediately dropped.

If you want to ensure that traffic is immediately interrupted when you remove a security group rule, you can use a network ACL for your subnet — network ACLs are stateless and therefore do not automatically allow response traffic. For more information, see Network ACLs in the Amazon VPC User Guide.