security - 如何在AWS中设置堡垒主机或Jumpbox？

Question

我正在探索如何在 AWS 上设置堡垒主机，例如安全性和网络配置。

假设我有多个 EC2 实例。但我不想在所有其他 EC2 实例上启用 SSH。我想使用专门配置的 EC2 实例作为堡垒主机，我可以(仅)从我的私有(private) IP 进行 SSH；一旦我位于堡垒主机实例或 Jumpbox 实例上，我想通过 SSH 连接到我的 VPC 中的任何其他 EC2 实例。

是否有可用的 AMI 实例可供我用作 Jumpbox 或堡垒主机？这样我就可以仅使用一台堡垒主机通过 SSH 访问 VPC 内的任何其他 EC2 实例。

我看到很少有 Jumpbox EC2 AMI，但我猜它们的使用更像是 Bitnami 类型的发行版，而不是充当堡垒主机。

Answer 1

由于 AWS 安全组将允许您允许特定 IP 或特定范围的 IP 进行 SSH 入站，因此在此用例中拥有堡垒主机是毫无意义的。 Docs教你如何做到这一点。

您需要 AWS 上的堡垒主机的唯一情况是您需要通过 SSH 连接到私有(private)子网中的实例。要从 Internet 访问私有(private)子网中的实例，您需要通过 SSH 访问公有子网中的实例，并且需要从该堡垒实例使用其私有(private) IP 通过 SSH 访问私有(private)子网中的实例。

设置非常简单。您不需要任何花哨的 AMI 或类似的东西，它只需要像 t2.micro 这样的小东西。只需在公共(public)子网中启动任何实例，例如 Amazon Linux。确保它的安全组允许您的 IP 在端口 22 上，并通过 SSH 访问它。然后，您需要允许堡垒主机通过安全组访问所需的实例。

完成此设置后，您可以通过 SSH 连接到您的堡垒，然后从那里您可以简单地通过 SSH 连接到所需的实例。

这些链接可能对您有帮助:

Securely connect to Linux Instance in Private Subnet in VPC

Controlling Network Access to EC2 instance using Bastion Server

但是，访问私有(private)子网中的实例的另一种方法是设置 VPN。

但锁定实例的最佳方法是使用安全组并仅允许您所需的 IP 访问您的实例。