Что такое Security Group (или аналогичный firewall на уровне инстанса) и какую задачу она решает?

Короткий ответ

Security Group — виртуальный файрвол, привязанный к сетевому интерфейсу инстанса, который разрешает трафик по правилам (протокол, порт, источник); по умолчанию весь входящий трафик запрещён, и правила нужно добавлять явно.

Как это работает подробнее

правила обычно описываются как allow-list и применяются к конкретному ресурсу, а не ко всей подсети; большинство реализаций stateful — если разрешён входящий запрос, ответный трафик пропускается автоматически.

Пример кода

example.txtКопировать

Security Group web-sg:
  Inbound:  TCP 443 from 0.0.0.0/0
  Inbound:  TCP 22  from 10.0.0.0/16 (только из VPC)
  Outbound: all traffic allowed

Что использовать на практике

• Рекомендация. открывают только нужные порты (например, 443) и ограничивают источник максимально узко (конкретный CIDR или другая security group) вместо 0.0.0.0/0 там, где это не требуется.
• Проверка. подключение по HTTPS снаружи работает, а SSH снаружи VPC получает отказ соединения (connection timed out).

Подводные камни

• Риск. открывать порт 22/3389 всему интернету «для удобства отладки»
• Риск. создавать одну общую security group на все сервисы вместо разделения по ролям
• Риск. забывать закрыть временно открытое правило после отладки.