![仅允许从 1 个国家/地区访问 EC2](https://linux22.com/image/771857/%E4%BB%85%E5%85%81%E8%AE%B8%E4%BB%8E%201%20%E4%B8%AA%E5%9B%BD%E5%AE%B6%2F%E5%9C%B0%E5%8C%BA%E8%AE%BF%E9%97%AE%20EC2.png)
我需要将 EC2 实例的 http(s) 和 pop/imap 端口的访问限制到单个国家/地区。这是安全审计员的要求。它不会阻止通过 vpn 进行访问,但至少不会直接打开。
这里有两个关于同一主题的问题: AWS EC2 安全组 SSH 访问仅限美国,
这两个答案都需要在安全组中添加该国家/地区的网络块。我想知道是否有人在生产中实施过它?
鉴于每个安全组限制 50 条规则且每个实例限制 5 个安全组,是否可以添加安全组中的所有网络块?
区块是否经常更改?我们是否需要自动化来每天检查和更新?
最后,是否有使用 AWS 原生功能/服务的更好的解决方案——可能是使用 AWS 网络防火墙?
答案1
也许好的做法是只授权某些 IP 连接到服务器或直接在您的应用程序中执行工作(例如,这个 IP 不在这个国家/地区本地化,我拒绝访问)
但请记住,其他国家的用户仍然可以使用 VPN 来伪造他们的本地化。因此,仅限制 IP 是您可以拥有的最佳限制!