AWS 安全组在哪个 OSI 层运行？答案

【问题标题】：At what OSI layer do AWS Security Groups operate?AWS 安全组在哪个 OSI 层运行？
【发布时间】：2020-12-31 00:25:42
【问题描述】：

我已经阅读了几篇关于 AWS 安全组的文章：

但找不到安全组在哪个 OSI 层运行。也许有人可以帮助我了解他们在哪个 OSI 层运行？

【问题讨论】：

我不确定它在 OSI 层中的位置，但我喜欢将安全组视为连接到单个 EC2 实例（或者更准确地说，连接到每个 Elastic网络接口）。传统上，防火墙在子网之间运行，但安全组在资源级别添加了额外的保护。

标签： amazon-web-services aws-security-group

【解决方案1】：

安全组可以创建基于 IP、协议和可选端口的流量允许规则。 IP 与 OSI 模型的第 3 层（网络）和第 4 层（传输）的端口相关联。您可以过滤的协议要严格一些——您可以在控制台中从第 3 层（例如 ICMP）、第 4 层（例如 TCP/UDP）或第 5+ 层（HTTP、...）中选择一些协议。如果您选择第 5 层以上协议之一，它实际上会为您设置 TCP 或 UDP。

因此，我会说安全组在 OSI 模型的第 3 层和第 4 层都运行。我不确定这是否真的适合模型，但我对模型不是很教条 - 正如统计学家所说：所有模型都是错误的，但有些是有用的。

【讨论】：

安全组是有状态的，这意味着如果允许入站流量，则自动允许出站流量。 SG 可能在第 5 层 - 会话中运行吗？
由于仅使用第 3 层和第 4 层概念（IP + 端口）来实现有状态，我认为这不属于第 5 层。我的理解是，第 5 层更多的是管理会话使用底层协议的实际程序，因此在 HTTP 的情况下类似于 cookie。