네트워크
보안그룹
인바운드·아웃바운드 규칙, 보안그룹을 소스로 지정하기, 기본 차단 정책
보안그룹은 인스턴스와 DB에 붙이는 상태 저장(stateful) 방화벽입니다. 인바운드는 기본 차단, 아웃바운드는 기본 허용입니다. 한 인스턴스에 여러 보안그룹을 붙일 수 있고, 규칙은 합집합으로 적용됩니다.
규칙 항목
| 항목 | 값 |
|---|---|
| 방향 | 인바운드 / 아웃바운드 |
| 프로토콜 | TCP / UDP / ICMP / 전체 |
| 포트 | 단일(22) 또는 범위(3000-3010) |
| 소스(대상) | CIDR(0.0.0.0/0, 211.0.0.0/24) 또는 다른 보안그룹 |
| 설명 | 메모 |
보안그룹을 소스로
sg-app이 붙은 인스턴스만 sg-db의 3306에 접근하게 하려면, sg-db 인바운드에 소스 = sg-app, TCP 3306 규칙을 넣습니다. 인스턴스가 늘어나도 규칙을 고칠 필요가 없습니다.
로드밸런서에서 오는 트래픽
웹 트래픽은 로드밸런서(프록시)를 거쳐 들어오므로, 인스턴스 입장에서 출발지는 프록시입니다. 기본 제공되는 sg-lb 를 소스로 허용하면 됩니다. 새 인스턴스에는 sg-lb → 앱 포트 규칙이 기본으로 들어 있습니다.
접속자 IP로 제한하고 싶으면(예: 관리자 페이지는 사무실만) 보안그룹이 아니라 로드밸런서 규칙의 소스 IP 조건을 쓰세요.
플랫폼 차단 규칙 (해제 불가)
- 아웃바운드 25/tcp (SMTP) — 스팸 발신 방지. 메일은 외부 서비스의 API나 587 포트를 쓰세요.
- 다른 조직의 네트워크
- 플랫폼 관리 포트
추천 구성
sg-web : 인바운드 sg-lb → 3000/tcp
sg-app : 인바운드 sg-lb → 8080/tcp, 사무실 IP → 22/tcp
sg-db : 인바운드 sg-app → 3306/tcp