aws服务器安全组设置和访问 aws云安全解决方案

aws配置点到点vpn隧道

1、创建客户网关

创新互联长期为1000多家客户提供的网站建设服务，团队从业经验10年，关注不同地域、不同群体，并针对不同对象提供差异化的产品和服务；打造开放共赢平台，与合作伙伴共同营造健康的互联网生态环境。为嘉禾企业提供专业的网站设计制作、网站建设，嘉禾网站改版等技术服务。拥有十年丰富建站经验和众多成功案例,为您定制开发。

如下图所示：注意IP地址是本地（北京vpn设备防火墙）的固定出口ip地址。

2、创建 虚拟私有网关

如下图所示： 选择需要连接本地的aws上的vpc网络。其他默认即可。

3、创建 站点到站点vpn连接

如下图所示： 创建vpn连接，配置选项可按照如下配置，或者按照（ ）括号内连接地址配置。

4、此时我们需要配置路由表，需要连接vpn的子网的路由需要添加一条规则：

如下图所示：我们需要将本地ip地址段目标配置为：虚拟私有网关。

5、下一步是配置安全组，我们必须让本地ip地址段可以通过安全组访问我们的实例资源。

1、配置本地vpn设备，使用华为防火墙作为vpn网关设备。

vpn隧道选项我们和aws上配置选项保持一致即可。

2、下面还有重要的一步，就是配置本地的路由表。

我们在核心交换机上配置172.40.0.0/16网段的路由吓一跳设备为：华为防火墙。

3、此时，我们所有vpn配置都已完成。

ipsec诊断所有结果都是通过：

隧道详情显示IKE协商成功。

我们本地ping远程aws上的服务器实例：显示ping可达。

4、本地和aws已建立完整的内网vpn连接。

1、华为路由器AR6140H-S，配置点对点vpn使用命令行更合适。

参考华为文档： ;fe=10hib=7.1.10.6.12.4id=dc_cfg_ipsec_0047text=%25E9%2585%258D%25E7%25BD%25AE%25E6%2580%25BB%25E9%2583%25A8%25E9%2587%2587%25E7%2594%25A8%25E5%25AE%2589%25E5%2585%25A8%25E7%25AD%2596%25E7%2595%25A5%25E7%25BB%2584%25E6%2596%25B9%25E5%25BC%258F%25E4%25B8%258E%25E5%2588%2586%25E6%2594%25AF%25E5%25BB%25BA%25E7%25AB%258B%25E5%25A4%259A%25E6%259D%25A1IPSec%25E9%259A%25A7%25E9%2581%2593%25E7%25A4%25BA%25E4%25BE%258Bdocid=EDOC1000163882

AWS VPC public subnet安全组设定

使用VPC wizard创建包含public subnet的 VPC后， AWS会自动产生一个default security group安全组，里面只有一条策略，就是来自本安全组的源可以访问所有的内容。

当启动EC2 instance在VPC中，并选择了这个public subnet的时候，通常都会为EC2再创建对应的security group，方便管理对应的服务器端口。

这时由于default security group中没有开放对该EC2 sg的访问，EC2 instance会无法连通AWS提供的gateway设备，导致网络不通。需要在default中增加一条策略，允许来自EC2 security group的源访问所有的内容。

如果EC2 instance用的是default的安全组，就不会有以上问题。

亚马逊aws外网IP无法ping通

1 关闭实例的防火墙；

2 aws有安全组，设置安全组。如设置所有TCP流量可以访问。

Amazon AWS 使用心得（摸索篇一）

本文主要讲述本人使用过程中，Amazon Aws 内常用模块说明。

1. 固定IP怎么配置？

答： EC2默认动态IP，每次实例重启，IP都会发生改变。这么做的好处，个人理解是鼓励大家不要使用免费实例。嘿嘿...

而如果选择收费实例时，可选择绑定IP，达到固定IP效果。具体配置如下图：

1.1. 分配弹性IP

1.2. 将弹性IP关联至EC2 实例

2. 负载均衡的使用？

答： 个人感觉使用AWS负载能减轻本人的运维工作，毕竟不是专业运维人员。比较明显的好处就是，不需要在服务器中安装nginx搭建负载了。

具体配置如下图：

2.1. 创建负载均衡器，选择Application Load Balancer。

2.2. 填写负载均衡器信息。

2.3. 选择EC2所在区

2.4. 选择或配置安全组，继续下一步；

2.5. 配置路由，填写完成继续下一步，具体如下图：

2.6. 选择应用所在EC2实例，并提交审核。

2.7. 等待负载均衡器安装完成，即可使用。

1. 访问权限问题

答： 如果是公开的S3存储桶，则忽略此项。要开启S3 API访问权限，需配置2步：

1.1. 配置阻止公有访问(存储桶设置)，如下图：

1.2. 配置存储桶策略，内容大概：

2. 静态页面托管问题

答： S3自身除非公开存储桶，否则无法直接访问存储桶数据。如想通过存储桶来托管静态页面，目前知道的需注意以下2点：

2.1. 存储桶名词需与域名保持一致；

2.2. 为避免直连存储桶，可考虑使用CloudFront来实现转发达到目的。