AWS este o platformă de întreprindere destul de complexă. Chiar trebuie să înveți platforma pentru a o folosi pentru a te asigura că faci lucrurile corect, în siguranță. Antrenamentul ajută foarte mult.
La întrebarea dvs. este ușor dificil de răspuns, deoarece nu utilizați terminologia standard AWS.Dar răspunsul scurt este că grupul de securitate care este asociat cu serverul dvs. IIS trebuie să aibă porturile de intrare 80 și 443 deschise. Nu aveți nevoie de un ELB dacă aveți un singur server EC2, dar ELB-urile oferă o protecție suplimentară împotriva unor forme de atacuri DDOS. Aveți nevoie de un gateway de internet în VPC-ul dvs., direcționat către subrețeaua publică, dar tabelul de rute pentru subrețeaua privată nu ar trebui să fie direcționat către gateway-ul de internet. Nici subrețeaua privată nu ar trebui să aloce IP-uri publice.
Actualizare - dacă doriți să rulați mai multe servere web, atunci utilizați un echilibrator de încărcare a aplicației într-un grup de securitate cu 443 / 80 deschis pentru lume, apoi un alt grup de securitate pentru instanțele dvs. EC2 deschis numai pentru ALB. Instanțele EC2 sunt cele mai bune într-o subrețea privată, fără rută către/de la internet și fără IP public.
Dacă nu are sens, vă sugerez fie să vă pregătiți, fie să angajez pe cineva care să vă ajute :)
Actualizare pentru SSL
Nu aș face descărcarea TLS la CloudFlare, asta ar lăsa traficul necriptat pe internet și nu ar fi conform cu nimic. Puteți închide TLS la un ALB și puteți utiliza http la instanțele dvs. EC2 destul de sigur, deoarece traficul din AWS este în general considerat sigur, este izolat de AWS Hyperplane. ALB poate primi trafic pe portul 443, decripta, apoi trece la EC2 pe portul 80. Nu am făcut-o singur, dar cred că tocmai v-ați configurat grupul țintă ascultând portul 80 și nu 443. Creați un certificat TLS folosind Manager de certificate AWS.
Personal, aș face TLS pe instanțele EC2, dacă nu am un motiv întemeiat sau volumul de lucru nu era sensibil. Este mai ușor să utilizați un certificat ALB decât să instalați certificate pe fiecare instanță EC2.
