AWS: encaminhar o SSH de instâncias públicas para privadas usando iptables

Question

Meu problema é conectar-se facilmente via SSH a instâncias do EC2 que não possuem um IP público (por exemplo, instâncias de db, instâncias da web, etc.).

Descobri que é possível usar o iptables PREROUTING chain para encaminhar o tráfego SSH com base na porta de entrada no servidor com um IP público. Então, achei que poderia usar meu balanceador de carga para encaminhar o SSH entre minhas instâncias particulares. No entanto, isso parece ser uma grande falha de segurança, já que minhas instâncias particulares agora se tornaram potencialmente expostas a ataques baseados em SSH.

Existe outra maneira de conectar convenientemente o SSH em instâncias do EC2 somente com IPs privados?

    

Answer 1

Acho que você está descrevendo o Amazon VPC (Virtual Private Cloud). Esse serviço da Amazon permitirá que você atinja sua meta de acessar com segurança suas máquinas virtuais sem IPs públicos, estabelecendo um túnel VPN IPsec. Esta solução funciona melhor quando você tem um IP estático, ou então você pode ter que reconstruir o túnel quando o seu IP mudar. O campo de vendas da Amazon está aqui: link

Eu usei com sucesso firewalls do pfSense para estabelecer túneis usando o roteamento estático e o BGP.

    

Answer 2

Um host de bastiões faria o que você precisa. É basicamente um proxy interno, você autentica contra esse host, e a partir daí você pode se conectar a outras máquinas.

O bastião é bem protegido, muitas vezes bloqueado por IP, e você pode exigir uma VPN para se conectar a ele, se você quiser.