在没有公共ip的情况下，从外部向实例开放所有流量是否存在风险?

Question

我们有一个vpc 4隧道从4个不同的位置，和一个nat访问互联网。该vpc内存在一个没有公网ip地址的实例。一切都通过私有ip进行通信。

既然每个内部机器都可以访问它，那么我允许所有来自0.0.0.0/0的流量是可以的吗?

有来自外部的风险吗?

Answer 1

安全最佳实践是阻止所有流量，并明确地只允许来自特定位置的已知服务的流量。(这就是EC2安全组的工作原理。)现在看起来还好，但如果一个实例在未来的某个时候拥有一个公共IP地址，它可能会向全世界开放你的整个VPC。我强烈建议你限制交通。