SSH 进入私有 VPC 子网

Question

我正在使用 AWS VPC，遇到了一个我不理解的有趣案例。

这是我目前创建的：

• VPC
• 该 VPC 中的单个子网
• 允许访问 VPC 的 Internet 网关
• 用于将流量正确路由到我的子网的路由表。
• 子网中的 EC2 实例，具有仅允许 SSH 进入其中的安全组。
• 一种网络 ACL，仅允许从任何 IP 到该子网的入站和出站 SSH。

由于某种原因，使用此设置我无法通过 SSH 连接到我的 EC2 实例。但是，当我更新 NACL 以允许所有出站 TCP 流量时，我 可以 SSH 进入。

EC2 实例是否需要执行一些其他外部流量才能使 SSH 正常工作？

Answer 1

您不会在 NACL 中包含临时端口。

这些仅与 AWS 中的 NACL 相关。

临时端口是主机在与目标端口通信时打开的端口。

一般建议1024-65535允许出站。

AWS 在他们的documentation 中进一步解释了这些。

Answer 2

这是因为您必须在 AWS 网络 ACL 中专门打开入站和出站端口，这与安全组不同，后者是有状态的并自动打开相应的临时端口以允许为传入的网络请求返回响应。

---

另外，请注意，具有 Internet 网关提供直接访问 Internet 的子网通常称为“公共子网”，而必须路由到另一个子网中的 NAT 网关的子网通常称为“私有子网”。