Giới thiệu về AWS Security Groups

Security groups là một thành phần quan trọng cần lưu ý khi tiếp cận với bất cứ dịch vụ nào của AWS. Nhìn chung, Security Groups có thể được hiểu theo các ý tưởng sau:

• Security Groups là nền tảng cơ bản của network security trong AWS.
  
• Security Groups sẽ chịu trách nhiệm kiểm soát các luồng truy cập vào/ra của các máy chủ EC2.
  

• Security Groups chỉ bao gồm các "allow" rule. (Những rule không xuất hiện trong Security Groups sẽ bị deny).
  
• Có thể cấu hình Security Groups thông qua IP hoặc các Security Group khác.
  
• Thông thường, mỗi EC2 Instance sẽ có thể cấu hình lên tới 5000 Security Groups trên mỗi khu vực (region), mỗi Group cho phép cấu hình 60 Inbound (request đến) và 60 Outbound (request đi) Rules.
  
• Mỗi Security Group có thể được áp dụng cho nhiều EC2 Instances.
  

Xem thêm về EC2 Instance: Giới thiệu về AWS - EC2

Security Groups "Deeper Dive"

Đi sâu hơn (Depper Dive) vào Security Groups, chúng ta sẽ tìm hiểu xem cách mà các Security Group bảo vệ các máy chủ EC2
Như đã nói ở phần mở đầu, các Security Groups hoạt động như một tường lửa nhằm bảo vệ các hệ thống phía sau, cụ thể ở đây là các EC2 Instances. Tại đây, chúng ta có thể cấu hình các rule liên quan đến nhiều yếu tố cơ bản để truy cập vào một máy chủ thông thường như dưới đây:

• Truy cập đến các Ports
  
• Cấp quyền truy cập cho các địa chỉ IP xác định. Tính năng này hỗ trợ cả IPv4 lẫn IPv6.
  
• Kiểm soát các request từ bên ngoài đến các EC2 Instances (Inbound Request) và ngược lại (Outbound Request).
  
• Kiểm soát chi tiết các giao thức có thể kết nối đến các EC2 Instances (Ví dụ SSH, SCP, TCP...).
  

Để hiểu rõ hơn về cách mà Security Groups hoạt động, sơ đồ phía dưới trình bày cách mà các Security Groups cấp phép hoặc reject các request đến các EC2 Instances. Tất cả các request đến (inbound) và đi (outbound) đều được kiểm soát chặt chẽ thông qua các Security Groups này.

Thông qua diagram phía trên, chúng ta có thể rút ra được các yếu tố chính cần lưu ý đối với Security Groups:

• Một Security Group có thể được gắn cho nhiều Instance.
• Mặc định, các Security Group sẽ không cho phép các request đến (inbound) và đi (outbound) từ các Region/VPC khác của AWS (tuy nhiên có thể giải quyết tình trạng này thông qua các jump host/bastion server, VPN, hoặc VPC peering).
  
• Đối với các request đi (outbound), nếu chúng bị chặn bởi các Security Groups, máy chủ EC2 sẽ hoàn toàn không thể "nhìn" thấy được đích đến. (Request sẽ bị chặn hoàn toàn, đối với EC2 Instance bị chặn, đích đến kia sẽ bị coi là không tồn tại)
  
• Nên thiết lập riêng một Security Group độc lập cho các tác vụ liên quan đến SSH. Điều này là vô cùng quan trọng để tránh các tác động không mong muốn đến các rule này khi thay đổi các rule khác trong Security Group. Việc các rule SSH bị ảnh hưởng dẫn đến việc không thể truy cập vào Instance thông qua SSH có thể gây nhiều phiền toái không đáng có.
  
• Trong trường hợp ứng dụng của bạn không thể truy cập (timeout), lỗi này thường đến từ các Security Groups.
  
• Trong trường hợp gặp lỗi connection refused, lỗi này không đến từ các Security Groups mà thường do lỗi của ứng dụng hoặc đơn giản chúng đang không hoạt động.
  
• Mặc định, tất cả các request tới (inbound traffic) sẽ bị chặn, trong khi tất cả các request đi (outbound traffic) sẽ được mở.
  

Thông thường, ngoại trừ các Application Port có thể cấu hình tùy ý, cần lưu ý và tránh một số port mặc định của các giao thức thông dụng như sau:

• 22 = SSH (Secure Shell) - Truy cập vào các Instance Linux (Windows Server và MacOS có thể cần cài đặt SSH Server)
  
• 21 = FTP (File Transfer Protocol) - upload files thông qua file share
  
• 22 = SFTP (Secure File Transfer Protocol) - Upload file thông qua SSH
  
• 80 = HTTP – access unsecured websites - Truy cập các website không sử dụng SSL
  
• 443 = HTTPS – access secured websites -Truy cập các website có sử dụng SSL
  
• 3389 = RDP (Remote Desktop Protocol) - Windows hoặc MacOS