mysql - mysql aws 安全组设置的安全影响

Question

我有一个安装了 mysql 的 ec2 实例。服务器监听来自任何 ip (bind-address = 0.0.0.0) 的连接。

我设置了 mysql 安全组，只有我的 webapp 实例可以远程连接到 mysql 数据库。为此，我在我的实例中添加了一个 webapp-sg 安全组(webapp-sg 仅限于 http、https 和 ssh)然后对于我的 mysql 实例，我只是使用 webapp-sg 组作为“源”。我已经证实1. 我无法从外部 ec2 实例远程登录2. 在 ec2 实例中，我必须在具有安全组 =webapp-sg

的 ec2 实例上

但是，webapp 实例和 mysql 数据库之间的流量仍然是明文的。有什么影响？ (我看到很多文章推荐上面的设置)。人们是否为此使用“Mysql over ssl”——我怀疑这会对性能产生影响？或者 aws vpc 是否解决了这个问题？

Answer 1

简答:这是推荐的操作方式。去吧。

更长:视情况而定。取决于您的应用程序所需的安全级别，以及您愿意花费的工作量、复杂性、可用性和维护费用。虽然理论上建议对任何机器间流量进行加密，尤其是在公共(public)云等 Multi-Tenancy 环境中 -AWS 花费了大量精力来使他们的基本安全组提供可靠的安全组。 see 'Network Security' chapter

那样的话，窃听或数据包欺骗都不太可能发生。如果您现实一点，黑客更有可能(按数量级)将您的 Web 应用程序错误和漏洞用作主要攻击媒介。

也有可能是安全组配置错误的可能性。专属服务喜欢Dome9和 Newvem可能有助于获得洞察力和管理您的安全配置。 (披露 - 我是 Dome9 的联合创始人)

最后，VPC。虽然在架构上与 EC2 没有太大区别，但推荐使用它，因为它带来了更多的配置能力，以及执行策略的第二种方法(网络 ACL)。这可能会带来一些复杂性和更多的维护，但可以减少错误配置的影响。