amazon-web-services - 通过 SSH 连接到位于 VPC 的私有(private)子网中的 AWS EC2 实例

Question

我已经解决这个问题几个小时了，也许它不可能，也许它是。

我在 AWS 中有一个 VPC，有几个 EC2 实例和 Lambda 实例。

截至目前，lambda 可以毫无问题地调用、ssh 等到 EC2 服务器。

我的 lambda 在“出站”中使用只有 HTTP、HTTPS 和 SSH 的安全组。

我的 ec2 默认安全组仅接受 22 个入站(来自我的 Lambda 安全组和我的办公室 IP)。

如果我在我的公共(public)子网上创建一个 ec2 实例，我和我的 lambda 函数都可以通过 ssh 访问它。

如果我在我的 PRIVATE 子网上创建它，我的 lambdas 可以 ssh 但我不能......

为了实现这一点，我真的必须有一个 NAT SERVER 吗？

TL:博士；只有我的办公室和我的 lambdas 才能访问我的 ec2 实例。

Answer 1

SSH 访问 EC2 实例时要考虑的第一个选项是 EC2 Instance Connect它允许您使用 IAM 控制对 EC2 实例的访问，并提供从 AWS 控制台或常规命令行 SSH 工具的访问。
第二个选项是AWS Systems Manager Session Manager for Shell Access to EC2 Instances .您基本上在浏览器中运行 SSH session ，它可以针对所有 EC2 实例，无论公共(public)/私有(private) IP 或子网如何。 EC2 实例必须运行最新版本的 SSM 代理，并且必须使用适当的 IAM 角色(包括来自 AmazonEC2RoleForSSM 的关键策略)启动。不需要允许入站端口 22 的堡垒主机或防火墙规则。
要考虑的第三个选项是 AWS Systems Manager Run Command它允许您在 EC2 实例上远程运行命令。它不像 SSH 那样具有交互性，但如果您只是想运行一系列脚本，那么它非常好。同样，该实例必须运行 SSM 代理并具有适当的 IAM 策略，并且此选项避免了通过堡垒主机进行隧道传输的需要。
最后，如果您确实必须从办公室笔记本电脑通过 SSH 连接到私有(private)子网中的 EC2 实例，您可以通过堡垒主机来完成。你需要一些东西:

VPC 中的 IGW 和 NAT

VPC 公有子网中具有公有 IP 的堡垒主机

堡垒上的安全组允许从您的笔记本电脑入站 SSH

从私有(private)子网到 NAT

的默认路由

私有(private) EC2 实例上的安全组，允许来自堡垒的入站 SSH

然后你必须通过堡垒主机隧道。见 Securely Connect to Linux Instances Running in a Private Amazon VPC更多。