AWS子网NACL中的冲突规则[关闭]答案

【问题标题】：Conflicting rules in AWS subnet NACL [closed]AWS子网NACL中的冲突规则[关闭]
【发布时间】：2020-11-16 07:43:16
【问题描述】：

我正在学习 AWS NACL。我正在尝试使用 VPN SSH 到 AWS EC2 实例。我收到以下错误

ssh -i amazon-linux-key.pem ec2-user@10.250.92.154 ssh: 连接到主机 10.250.92.154 端口 22: 资源暂时不可用

但是 ping 10.250.92.154 的数据包丢失率为 0%

我创建 Ec2 实例的子网具有以下入站和出站规则：

80  All traffic All All 10.250.92.0/23   Allow
85  All traffic All All 10.250.0.0/16    Deny
100 All traffic All All 0.0.0.0/0    Allow
*   All traffic All All 0.0.0.0/0    Deny

第 80 条和第 85 条对我来说似乎是矛盾的。我认为这是导致问题的原因。对此的任何想法将不胜感激

【问题讨论】：

为什么要修改NACLS？最好使用默认的，并且只使用安全组来限制对您的实例的访问。你试过吗？ ssh 是否适用于默认的 NACLS？
此设置已由 IT 团队完成。我试图了解为什么我无法对 Ec2 实例执行 SSh 可能是 NACL 中设置错误

标签： amazon-web-services amazon-ec2 ssh

【解决方案1】：

NACL 规则按顺序评估。使用第一个“满足”的规则。

10.270.92.0/23 是一个不正确的 CIDR。我猜你的意思是10.250.92.0/23，错误消息中引用了它
10.250.92.0/23 从 10.250.92.0 变为 10.250.93.255
10.250.93.0/16 从 10.250.0.0 变为 10.250.255.255

因此，如果您连接到10.250.92.154 的 EC2 实例，并且您是从子网外部连接（这意味着将使用 NACL），它将按如下方式工作：

如果来自10.250.92.0 到10.250.93.255：允许
否则，如果来自10.250.0.0 到10.250.255.255：拒绝
否则：允许

【讨论】：

感谢约翰对此的解释。这意味着根据允许流量的第一条规则，我应该能够通过 SSH 连接到 EC2 实例。但我无法连接到 SHH。还有什么我可以检查的吗？
您从哪个 IP 地址连接到哪个 IP 地址？此外，与目标 EC2 实例关联的安全组是什么？另外，请更正您的问题以显示正确的 IP 地址（例如，没有270）。
约翰我更新了我的问题
您从哪个 IP 地址连接到哪个 IP 地址？另外，与目标 EC2 实例关联的安全组是什么？