无法连接到 AWS Transfer S3 SFTP 服务器 - 可能需要设置安全组

Question

我正在尝试设置由 AWS 管理的 SFTP 服务器，该服务器具有固定的 IP 地址，外部客户端可以将其列入防火墙白名单。基于this FAQ这是我应该做的：

您可以通过为您的服务器选择 VPC 终端节点并选择面向互联网的选项来为您的服务器终端节点启用固定 IP。这将允许您将弹性 IP（包括 BYO IP）附加到服务器的端点，该端点被分配为端点的 IP 地址

所以我关注了“为您的 SFTP 服务器创建面向 Internet 的端点”下的 official instructions here。创建设置如下所示：

结果如下：

与文档中的结果截图比较：

我的结果几乎相同，除了“端点配置”表下的最后一列显示“私有 IPv4 地址”而不是“公共”。这是第一个红旗。我不知道为什么它是一个私人地址。它看起来不像，它是我创建的弹性 IP 的 IP 地址，并且端点 DNS 名称 s-******.server.transfer.eu-west-1.amazonaws.com 解析为我本地机器上的那个 IP 地址。

如果我 ping 端点或 IP 地址，它不起作用：

451 packets transmitted, 0 received, 100% packet loss, time 460776ms

如果我尝试与sftp 或ssh 连接，它会在失败前挂起一段时间：

ssh: connect to host 34.****** port 22: Connection timed out
Connection closed

另一个潜在的问题是安全组：

此时，您的终端节点已分配有所选 VPC 的默认安全组。要关联其他安全组或更改现有安全组，请访问https://console.aws.amazon.com/vpc/ 中的安全组部分。

这些说明对我没有意义，因为在安全组界面中没有任何地方可以将组分配给另一个实体，例如传输服务器。传输服务器配置中没有任何地方提到安全组。如何设置新的安全组？

我尝试更改弹性 IP 的网络接口的安全组，但即使我是管理员，我也遇到权限错误。显然我实际上并不拥有 ENI？无论如何，我不知道这是否是正确的道路。

Answer 1

默认安全组控制对 vpc 中新 sftp 服务器面向 Internet 的端点的访问。乱用为 sftp 服务器选择的 vpc 的默认安全组入口规则。或者，将连接到默认安全组中 sftp 端点的确切 IP 地址列入白名单。

如果管理员说 ho hum，如果绝对需要隔离，请为 sftp 服务器创建第二个 vpc。在新的隔离 vpc 中调整默认组。

链接： Creating an Internet-Facing endpoint for Your sftp server

转移愉快！

Answer 2

解决方案是在 VPC 控制台的“端点”部分找到为服务器创建的端点。端点的安全组可以编辑。

“私有 IPv4 地址”似乎无关紧要。