У меня есть три экземпляра EC2 с эластичными IP-адресами.
В каждом есть сервер.
Каждому серверу необходимо, чтобы TCP-порты 8181, 2181, 2888 и 3888 были открыты на каждой машине.
Каждый сервер должен иметь возможность общаться с другими серверами через эти порты.
Я создал группу безопасности (например, с именем: sg-4d775c42) где я поставил следующие правила:
Пользовательское правило TCP | TCP | 8181 | sg-4d775c42
Пользовательское правило TCP | TCP | 2181 | sg-4d775c42
Пользовательское правило TCP | TCP | 2888 | sg-4d775c42
Пользовательское правило TCP | TCP | 3888 | sg-4d775c42
Я думал, что эти правила означают, что каждая машина в группе безопасности sg-4d775c42 может вызывать порты 8181, 2181, 2888 и 3888 других машин в той же группе.
Но похоже, что это не так!
Если я открою порты в мир, то есть следующие правила:
Пользовательское правило TCP | TCP | 8181 | 0.0.0.0/0
Пользовательское правило TCP | TCP | 2181 | 0.0.0.0/0
Пользовательское правило TCP | TCP | 2888 | 0.0.0.0/0
Пользовательское правило TCP | TCP | 3888 | 0.0.0.0/0
Конечно, мои серверы могут разговаривать друг с другом.
Более того, приватное общение между этими 3 серверами - это первый шаг. Вторым шагом будет подключение к другой частной сети этого ансамбля из 3 серверов с другим экземпляром.
Итак, мой вопрос следующий:
Как я могу создать (или смоделировать) частную сеть, в которой мои порты открыты между моими экземплярами EC2?
Я думал, что эти правила означают, что каждая машина в группе безопасности sg-4d775c42 может вызывать порты 8181, 2181, 2888 и 3888 других машин в той же группе.
Да, но только если вы используете их внутренние IP-адреса AWS. Вы можете сделать это с помощью ec2-xxx-xxx-xxx-xxx.us-region-1.compute.amazonaws.com адрес, который получает каждый экземпляр (который вернет внутренний IP-адрес в сети AWS), или напрямую через частный IP-адрес экземпляра.
Если вы выходите через общедоступный Интернет с использованием эластичных IP-адресов экземпляров, AWS теряет любую информацию, которую он мог бы иметь, о том, в каких группах безопасности они находятся, и поэтому будут работать только правила на основе IP.