Y at-il un risque de l'extérieur pour ouvrir tout le trafic à l'instance sans IP publique?

Question

Nous avons un 4 tunnels vpc forment 4 emplacement différent, et un nat pour l'accès à Internet. A l'intérieur de ce vpc est une instance sans adresse IP publique. Tout communique par ip privé.

Puisqu'il est correct si toutes les machines internes y ont accès, est-ce que je peux autoriser tout le trafic de 0.0.0.0/0?

Y a-t-il un risque de l'extérieur?

Answer 1

Une meilleure pratique de sécurité consiste à bloquer tout le trafic et à n'autoriser explicitement que le trafic vers des services connus à partir de certains emplacements. (C'est ainsi que fonctionnent les groupes de sécurité EC2.) Cela peut sembler correct maintenant, mais si une instance devait avoir une adresse IP publique à un moment donné dans le futur, elle pourrait potentiellement ouvrir votre VPC entier au monde entier. Je vous recommande fortement de restreindre le trafic.