EC2 सुरक्षा समूह में अनुमति नहीं दी जाएगी नियम पहले से ही स्थापित MongoDB कनेक्शन

Question

प्रभावित कर रहा है इस मामले में किया जाता है:

1. उदाहरण X TCP पोर्ट 27017 (EC2 सुरक्षा समूह द्वारा की अनुमति दी)
पर उदाहरण Y से कनेक्ट करने में सक्षम है
2. X मोंगो खोल है
3. Y MongoDB चल रहा है, बंदरगाह 27017 पर X से कनेक्शन स्वीकार करने
4. से है, डीबी उदाहरण के लिए Y से X, क्वेरी पर इस मोंगो खोल सत्र से Y
5. पर कनेक्ट और Y को सम्मिलित करने के लिए मोंगो खोल का उपयोग करें। सब सफल है।
6. बदलें सुरक्षा Y के समूह: बंदरगाह 27017 # 1
7. X में वर्णित नियम अब भी से क्वेरी/डीबी को सम्मिलित कर सकते हैं हटाने Y पर की मेजबानी की। यह उम्मीद नहीं है।
8. X
9. पर चरण 2 फिर से प्रयास करें और असफल रहा। यह सामान्य और उम्मीद है।

उम्मीद है कि ईसी 2 नेटवर्क फ़ायरवॉल नियमों (सुरक्षा समूह नीतियों) का उल्लंघन करने वाले कनेक्शन को समाप्त कर देगा।

क्या आप कृपया बता सकते हैं कि ऊपर # 7 कैसे होता है? और इससे कैसे बचा जा सकता है (इसलिए X उस समय Y पर कुछ भी नहीं कर सकता है)?

धन्यवाद।

Answer 1

उम्मीद है कि EC2 नेटवर्क फ़ायरवॉल कनेक्शन कि नियमों का उल्लंघन

आप एक धारणा यहाँ कर रहे हैं को समाप्त कर देगा है। यह आपकी उम्मीद है कि इसे कैसे काम करना चाहिए, लेकिन आधिकारिक एडब्लूएस दस्तावेज में इसका समर्थन कहाँ किया जाता है? मैं इस बारे में धारणा बनाने के बजाय दस्तावेज पढ़ने का सुझाव देता हूं कि यह कैसे काम करेगा।

the documentation से

:

यातायात का एक मौजूदा प्रवाह है कि ट्रैक की जाती है बाधित नहीं किया जा सकता है जब आप सुरक्षा समूह नियम यह है कि कि प्रवाह में सक्षम बनाता है हटा दें। इसके बजाय, प्रवाह को बाधित किया जाता है जब यह आपके द्वारा या अन्य होस्ट को कम से कम कुछ मिनट (या स्थापित टीसीपी कनेक्शन के लिए 5 दिनों तक) द्वारा रोक दिया जाता है। यूडीपी के लिए, इसे प्रवाह के दूरस्थ पक्ष पर क्रियाओं को समाप्त करने की आवश्यकता हो सकती है। यातायात का एक अनचाहे प्रवाह तुरंत बाधित होता है यदि प्रवाह सक्षम करने वाला नियम हटा दिया जाता है या संशोधित किया जाता है। उदाहरण के लिए, यदि आप एक नियम को हटाते हैं जो उदाहरण के लिए सभी इनबाउंड एसएसएच यातायात (0.0.0.0/0) की अनुमति देता है, तो उदाहरण के लिए आपके मौजूदा एसएसएच कनेक्शन तुरंत हटा दिए जाते हैं।

आप यह सुनिश्चित करना है कि यातायात तुरंत बाधित है जब आप एक सुरक्षा समूह नियम निकालना चाहते हैं, तो आप अपने सबनेट के लिए एक नेटवर्क एसीएल उपयोग कर सकते हैं - नेटवर्क एसीएल राज्यविहीन होते हैं और इसलिए नहीं स्वचालित रूप से प्रतिक्रिया यातायात की अनुमति देते हैं। अधिक जानकारी के लिए, अमेज़ॅन वीपीसी उपयोगकर्ता मार्गदर्शिका में नेटवर्क एसीएल देखें।