No EC2, a firewall não está dentro da máquina mas à frente dela, e chama-se grupo de segurança. É uma lista de regras do tipo "deixar entrar pela porta 443 qualquer pessoa" ou "deixar entrar pela 22 só este IP". Tudo o que não estiver na lista não entra. Por isso uma máquina acabada de criar pode estar perfeitamente ligada e, no entanto, o site não carregar: ninguém abriu a porta.
Perceber quatro ideias sobre os grupos de segurança evita metade dos problemas do EC2 e a maioria dos buracos de segurança. Este guia explica-as e deixa um grupo bem configurado para um servidor web.
Antes de começar: o que significa cada coisa
- Grupo de segurança
- A firewall do EC2: um conjunto de regras que diz que tráfego pode chegar à máquina. Uma máquina pode ter vários e um grupo pode servir para várias máquinas.
- Porta
- A "porta" numerada por onde entra cada tipo de tráfego: 80 para a web sem encriptação, 443 para a web segura, 22 para SSH, 3306 para MySQL, 3389 para o ambiente de trabalho remoto do Windows.
- Regra de entrada
- O que se deixa chegar à máquina. O que não tiver regra é bloqueado.
- Regra de saída
- O que a máquina pode enviar para fora. Por defeito, tudo; quase nunca é preciso mexer nisto.
- Origem
- De onde se permite: um IP concreto, um intervalo, qualquer um (0.0.0.0/0) ou outro grupo de segurança.
- CIDR
- A forma de escrever intervalos de IP. 203.0.113.5/32 é um único endereço; 0.0.0.0/0 é toda a internet.
- Com estado (stateful)
- Se deixa entrar um pedido, a resposta pode sair sem regra à parte. Por isso só há que pensar na entrada.
Passo a passo
Veja que grupo a sua máquina tem
Consola do EC2, Instances, selecione a máquina, separador Security. Verá o grupo ou grupos atribuídos e, por baixo, as regras de entrada tal como se aplicam. Se o site não responde, aqui está a resposta em 90 % dos casos: falta a 443, ou a origem é só o seu IP.
Perceba o grupo por defeito
Cada rede (VPC) tem um grupo chamado default que permite todo o tráfego entre máquinas que o partilhem e nada a partir da internet. É útil para que as suas máquinas falem entre si, mas não para um site público. Não o edite para abrir portas ao mundo: crie grupos próprios com nomes que digam para que servem.
Crie um grupo para servidores web
Menu Security Groups, Create security group. Nome
web-publica, descrição clara, a VPC por defeito. Regras de entrada:Tipo Porta Origem Para quê HTTPS 443 0.0.0.0/0 e ::/0 O site seguro, para toda a gente HTTP 80 0.0.0.0/0 e ::/0 Para redirecionar para HTTPS e renovar certificados SSH 22 My IP Administração, só a partir da sua ligação A lista pendente de origem tem a opção My IP, que preenche o seu endereço atual. Adicione uma descrição a cada regra ("escritório", "casa da Ana"): daqui a um ano vai agradecer saber de quem era cada IP. Crie.
Atribua o grupo à máquina
Volte à instância, Actions, Security, Change security groups. Adicione
web-publicae retire o que tinha se já não for preciso. A alteração é imediata, sem reiniciar. Teste o site e o SSH.Para uma base de dados: abra só às suas máquinas
Se tem uma máquina ou uma RDS com base de dados, não abra a 3306 à internet nem a "My IP". Crie um grupo
bd-internacom uma regra de entrada na porta 3306 cuja origem seja o grupo de segurançaweb-publica(na lista pendente de origem pode escolher um grupo em vez de um IP). Assim só as máquinas que tenham esse grupo se podem ligar, tenham o IP que tiverem. É a forma correta e a que quase ninguém conhece.Reveja os que já tem
Na lista de grupos de segurança, ordene ou filtre pelos que têm regras com origem 0.0.0.0/0 em portas que não sejam a 80 e a 443. Uma 22, uma 3306 ou uma 3389 abertas a toda a internet é o que os atacantes procuram diariamente. Feche-as ao seu IP ou ao grupo que corresponda. E apague os grupos que não estejam atribuídos a nada: só confundem.
O que pode correr mal
Fechei a 22 a "My IP" e já não entro
O seu IP mudou (ligações domésticas). Edite a regra a partir da consola, que não depende da máquina, com "My IP" de novo. Ou use o EC2 Instance Connect a partir da consola, que entra pelo navegador se a imagem o suportar.
O site funciona por IP mas não por domínio
Não é o grupo de segurança: é o DNS ou a configuração do servidor web. O grupo de segurança não sabe de nomes, só de portas e IP.
A máquina não sai para a internet para se atualizar
Reveja as regras de saída: alguém as restringiu. Por defeito permitem tudo. Se a máquina não tem IP público, precisa ainda de um gateway NAT, o que é outra história.
Tenho dezenas de grupos "launch-wizard-7"
Cria-os o assistente de lançamento sempre que alguém não escolhe um existente. Reatribua as máquinas aos seus grupos com nome e apague os dos assistentes. Os que estiverem em uso não se poderão apagar: isso diz-lhe quais ficam.
No Simplio
No Simplio a firewall de cada máquina, seja Lightsail ou EC2, é a mesma lista simples: porta, para quem (toda a gente, só o meu IP, um IP concreto) e uma descrição. O Simplio marca a vermelho as portas de administração abertas a toda a internet e avisa-o, e cada alteração pede o duplo fator e fica no registo de atividade com quem a fez. Sem saber o que é um CIDR.
O mesmo, na AWS e no Simplio
| Na consola da AWS | No Simplio | |
|---|---|---|
| Abrir uma porta só ao seu IP | Consola do EC2, Security Groups, editar, descobrir o seu IP, descrição: 5 passos | Regra "Só o meu IP" na firewall da máquina: 1 clique, o Simplio conhece o seu IP |
| Saber que máquinas têm algo aberto ao mundo | Rever grupo a grupo | Aviso na lista: "porta 22 aberta a toda a internet" |
| Lightsail e EC2 | Duas consolas com dois modelos diferentes | A mesma firewall simples para as duas |