Unterschied zwischen Sicherheitsgruppen (unter AWS) und iptables

Ich richte nur einen Server ein und frage mich, ob die Firewall zweimal eingerichtet werden muss. Zum Beispiel habe ich eine Sicherheitsgruppe mit den folgenden offenen Ports: 80, 443, 22

Jetzt richte ich meinen Server mit UFW (Frontend für iptables) ein. Muss ich meine Ports hier erneut einstellen oder nur in den iptables ohne Sicherheitsgruppe oder beides?

Gibt es einen Unterschied oder Vor- / Nachteile?

— Nepo Znat
quelle

Beides zu haben bedeutet mehr zu verwalten, schützt Sie aber, wenn Sie eines der beiden vermasseln. Auf AWS-Ebene blockierter Datenverkehr gelangt nie zu Ihrer Instanz, was sehr hilfreich sein kann.

— Ceejayoz

Enthält Nginx UFW ? Ich dachte, Nginx hat nur Nginx aufgenommen. UFW scheint ein Frontend für iptables zu sein. Wenn Sie Sicherheitsgruppen korrekt einrichten (und möglicherweise testen), ist es nicht vorteilhaft, beide zu verwenden, aber wie Ceejayoz sagt, bietet es eine zweite Schutzlinie. Ich persönlich störe nicht.

— Tim

Danke für die Antworten. Entschuldigung, ich meinte, es ist unter Ubuntu installiert.

— Nepo Znat

Wie Tim in einem Kommentar sagte, ist UFW das Frontend für iptables, daher sollten Sie die Funktionen von iptables wirklich mit Amazon Security Groups vergleichen.

Für mich ist der Hauptvorteil von SG die Integration in die AWS-Infrastruktur. Sie können damit den gesamten Stack mit Amazon CloudFormation erstellen, Details zu geöffneten / geschlossenen Ports / Adressen über die API usw. abrufen. Nachteile - Es ist vom Hersteller gesperrt, dh Sie müssen alles wiederholen, wenn Sie den Hosting-Anbieter wechseln möchten.

Überprüfen Sie zunächst die Amazon VPC-Grenzwerte . Wenn die Anzahl Ihrer Regeln in Grenzen liegt und für Ihren Fall nichts Besonderes wie von iptables implementiertes NAT erforderlich ist, reicht es aus, nur Amazon SG zu verwenden und UFW offen zu lassen. Sie können diese Frage auch auf weitere Details überprüfen: Warum gibt es sowohl Sicherheitsgruppen als auch iptables in Amazon EC2?

— Antrost
quelle

Danke für die Antwort. Ich habe mich für beide entschieden. - SG und iptables.

— Nepo Znat