cross region segurança amazon ec2

Question

No momento, como não é possível especificar um grupo de segurança de outra região ao permitir o acesso à porta usando grupos de segurança do amazon ec2, precisamos inserir cada IP individual no grupo de segurança para o qual ele precisa de acesso. Eu posso ver esse processo se tornando difícil de acompanhar (como já aconteceu).

Minha ideia era fazer algo semelhante ao que você pode fazer entre o Amazon VPCs (não podemos mudar para VPCs agora porque a migração seria um pouco demais no momento), então tenha um servidor em cada região atuando como um gateway, onde todas as solicitações de servidores de regiões cruzadas entram. Esse gateway redirecionaria a solicitação para o endpoint correto. Dessa forma, os grupos de segurança precisariam apenas de um IP para os servidores de regiões cruzadas, em vez de 1 por servidor.

Esta é uma técnica válida? Existem outros métodos que podem ser melhores?

    

Answer 1

Recentemente, enfrentamos esse mesmo problema em nosso (principalmente) ambiente VPC. Temos instâncias de VPC em execução em us-east-1, us-west-1 e us-west-2. Aqui está a documentação da Amazon:

link

Com a solução VPN acima, o endereço de origem permanece igual ao do VPC (IP privado) ou no seu caso EC2 (IP público). Não há NAT. Portanto, você não obteria nenhum benefício da VPN.

Acho que, como você não tem VPCs, não deve tentar essa abordagem no momento. Em vez disso, instituir uma mudança para o VPC para todas as novas instâncias e, em seguida, configurar as VPNs e usá-las daqui para frente.