Comunicações privadas entre instâncias do AWS EC2

Question

Eu tenho três instâncias do EC2 com IPs elásticos.
Cada um contém um servidor.
Cada servidor precisa que as portas TCP 8181, 2181, 2888 e 3888 sejam abertas em cada máquina. Cada servidor deve ter a possibilidade de conversar com os outros servidores através dessas portas.

Eu criei um grupo de segurança (por exemplo, denominado: sg-4d775c42 ) onde coloquei as seguintes regras:

Custom TCP Rule | TCP | 8181 | sg-4d775c42
Custom TCP Rule | TCP | 2181 | sg-4d775c42
Custom TCP Rule | TCP | 2888 | sg-4d775c42
Custom TCP Rule | TCP | 3888 | sg-4d775c42

Eu pensei que essas regras significam que cada máquina no grupo de segurança sg-4d775c42 pode chamar as portas 8181, 2181, 2888 e 3888 das outras máquinas no mesmo grupo.

Mas parece que não é o caso!

Se eu abrir as portas para o mundo, ou seja, as seguintes regras:

Custom TCP Rule | TCP | 8181 | 0.0.0.0/0
Custom TCP Rule | TCP | 2181 | 0.0.0.0/0
Custom TCP Rule | TCP | 2888 | 0.0.0.0/0
Custom TCP Rule | TCP | 3888 | 0.0.0.0/0

Claro, meus servidores podem conversar juntos.

Além disso, a comunicação privada entre esses três servidores é o primeiro passo. O segundo passo será conectar-se a uma outra rede privada que este conjunto de 3 servidores faça para outra instância.

Então, minha pergunta é a seguinte:

Como posso criar (ou simular) uma rede privada onde minhas portas são abertas entre minhas instâncias do EC2?

    

Answer 1

I thought that these rules mean that each machine in the security group sg-4d775c42 can call the ports 8181, 2181, 2888 and 3888 of the other machines in the same group.

Sim, mas apenas se você usar os IPs internos da AWS. Você pode fazer isso com o endereço ec2-xxx-xxx-xxx-xxx.us-region-1.compute.amazonaws.com que cada instância recebe (que retornará um IP interno na rede da AWS) ou diretamente pelo IP privado da instância.

Se você passar pela Internet pública usando os elásticos IPs das instâncias, a AWS perderá todas as informações que teria em quais grupos de segurança eles estão e, portanto, apenas as regras baseadas em IP funcionarão.