Devriez-vous utiliser iptables avec des instances EC2?

Vous pouvez utiliser ec2-authorize pour spécifier le type de trafic à autoriser pour votre instance ec2. Est-ce toujours une bonne idée d'exécuter iptables, ou cela introduit-il une complexité inutile?

Quelques raisons pour lesquelles vous pourriez envisager d'activer iptables:

• pouvez utiliser pour bloquer les chevaux de Troie sortants, par exemple bloquer les smtp sortants 25, et vous fournissez une défense contre les chevaux de Troie spam
• que se passe-t-il si le pare-feu Amazon est désactivé pour une raison quelconque par Amazon par accident?
• que faire si l'instance est démarrée avec un groupe de sécurité inapproprié ou s'il y a un problème avec la configuration du groupe de sécurité?

L'activation d'iptables offre une défense en profondeur et est facile à configurer, par exemple avec ufw:

sudo ufw default allow
sudo ufw enable
sudo ufw allow 22/tcp    # allow ssh
sudo ufw default deny

# sudo ufw allow 80/tcp   # uncomment this line to allow incoming http
# sudo ufw allow 443/tcp  # uncomment this line to allow incoming https

(Remarque: cela ne bloquera pas le smtp sortant, mais cela montre que l'obtention d'une configuration de base de configuration iptables est assez indolore, et vous pouvez ensuite le modifier si vous aimez vi /etc/ufw/*.rules)

Je dirais que cela dépend de la façon dont vous êtes paranoïaque. J'utilise personnellement une approche en deux étapes sur mes réseaux: il y a un pare-feu mondial qui bloque la plupart des mauvaises choses, puis chaque hôte exécute un type de pare-feu local spécifique à son objectif dans la vie.

Il semble que ec2-authorize ressemble beaucoup à ce pare-feu par hôte. Je le configurerais et lui jetterais quelques mauvais paquets et voir ce qui se passe. Je soupçonne que c'est suffisant.