Как авторизовать входящий трафик для ваших инстансов Linux?
Настройка входящего (или входящего) трафика к вашему экземпляру Linux имеет решающее значение для настройки и управления безопасностью вашего сервера. Без правильной настройки вы рискуете скомпрометировать свой экземпляр и украсть все ваши данные злоумышленником. В этой статье будет рассмотрено, как настроить правила входящего трафика в экземпляре Linux.
AWS используется здесь для демонстрационных целей, но другие сервисы имеют аналогичные шаги и настройки.
Правила входящего трафика можно настроить двумя способами:
- При создании нового экземпляра
- Редактирование правил после создания экземпляра
При создании нового экземпляра
Шаг 1. Выберите «Запустить экземпляр» на панели инструментов EC2, чтобы запустить новый экземпляр.
Шаг 2: - Дайте вашему экземпляру имя по вашему желанию.
Шаг 3. Выберите операционную систему, для которой вы хотите создать экземпляр (в данном случае Amazon Linux 2 AMI).
Шаг 4: — Выберите пару ключей для доступа к вашему экземпляру.
Шаг 5: Теперь вы можете настроить правила входящего трафика в настройках сети.
SSH — для подключения к вашему серверу по протоколу SSH и предоставления доступа внешним пользователям через переадресацию портов. По умолчанию выбрано значение 0.0.0.0/0, что указывает на то, что публичный доступ к вашему экземпляру включен, что позволяет любому клиенту с любого IP-адреса подключаться к вашему экземпляру через SSH.
Для получения дополнительной информации: SSH
Если вы собираетесь получить доступ к экземпляру только со своего устройства, выберите Мой IP-адрес или настраиваемый IP-адрес, чтобы разрешить трафик SSH только с этого IP-адреса и отклонить его при попытке с другого.
HTTP и HTTPS. Если вы собираетесь запустить веб-сервер на своем экземпляре, обе эти опции имеют решающее значение и должны быть включены, чтобы разрешить пользователям доступ к веб-серверу через порты 80 (по умолчанию для HTTP) и 443 (по умолчанию для HTTPS). Если вам требуется только доступ по протоколу HTTP, выберите параметр «Только HTTP», который отключит трафик HTTPS.
Для получения дополнительной информации: HTTP и HTTPS
Шаг 6: - Выделите необходимое хранилище для вашего экземпляра и выберите «Запустить экземпляр». Экземпляр будет запущен в ближайшее время.
Редактирование правил после создания экземпляра
Выполните следующие действия, если вы уже создали экземпляр и хотите изменить правила входящего трафика.
Шаг 1. Перейдите к списку экземпляров и выберите экземпляр, который хотите отредактировать.
Шаг 2: Теперь прокрутите вправо и запишите имя группы безопасности выбранного экземпляра.
Шаг 3. Прокрутите вниз на левой панели и выберите «Группы безопасности» в раскрывающемся списке «Сеть и безопасность».
Шаг 4: — Выберите группу безопасности для вашего экземпляра.
Шаг 5: — Выберите «Редактировать правила для входящих подключений» в контекстном меню.
Шаг 6. Здесь вы можете добавить или удалить правила входящего трафика, включенные для вашего экземпляра, и отредактировать несколько правил.
Добавляя собственный TCP, мы открываем определенный порт и указываем IP-адрес для доступа к службе, размещенной на этом конкретном порту, только с указанного IP-адреса (0.0.0.0/0 означает, что к нему можно получить доступ с любого IP-адреса). Например, предположим, что вы открыли порт для своего веб-сайта и хотите, чтобы этот трафик был доступен только с вашего локального компьютера. В этом случае вы можете создать входящее правило и указать номер порта, который вы хотите открыть, а также входящий IP-адрес, который в данном случае является локальным IP-адресом вашего компьютера.
Добавление правил для входящего трафика SSH через IPv4 или IPv6
Если вы хотите разрешить трафик IPv4 или IPv6 с любого IP-адреса, выберите Anywhere — IPv4 или Anywhere — IPv6 в раскрывающемся списке для столбца Source рядом с правилом SSH.
Или, если вы хотите добавить собственный IP-адрес, нажмите «Пользовательский» и введите IP-адрес в нотации CIDR.
Например: чтобы добавить адрес IPv4, введите (XXX.XXX.XXX.XXX) 104.239.197.100 или (XXX.XXX.XXX.XXX/X) 104.239.197.100/32 для указанного порта.
Адрес следует вводить как 2001:0db8:85a3:0000:0000:8a2e:0370(/7334) для IPv6.
После внесения изменений нажмите «Сохранить правила» , чтобы применить изменения, и все готово!
Назначение групп безопасности экземпляру
Перейдите на вкладку «Все экземпляры», щелкните правой кнопкой мыши экземпляр, для которого вы хотите изменить группу безопасности, и выберите «Безопасность» -> «Изменить группы безопасности» в появившемся меню.
Теперь, чтобы назначить существующую группу безопасности, сначала щелкните строку поиска, затем нажмите «Удалить» , чтобы удалить текущую группу безопасности.
После внесения изменений нажмите «Сохранить» , чтобы присвоить экземпляру новую группу безопасности.