🚪 धडा 10 — Security groups: द्वारपालाची पाहुण्यांची यादी

📍 तुम्ही इथे आहात: 12 पैकी धडा 10 · मागे: lesson-09-connecting · पुढे: lesson-11-ebs-snapshots-ami

📦 या ब्रँचमध्ये काय आहे

धडे 01–09, आणि त्यासोबत: प्रत्येक बाकाची firewall — security groups — आणि ते पटकन समजावणारे तीन नियम. खरी file:

ec2/ec2.tf — टिपा लिहिलेला aws_security_group block

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

प्रत्येक बाकाला एक द्वारपाल 🧍 मिळतो, जो कोणतीही ठोठावणी बाकापर्यंत पोहोचण्याआधी पाहुण्यांची यादी तपासतो. आपली यादी (ec2.tf मधून) अशी आहे:

✅ दार 22 (SSH) — फक्त माझ्या घरून आलेले पाहुणे (1.2.3.4/32) ✅ दार 80 (web) — कुठूनही आलेले पाहुणे (0.0.0.0/0) ❌ इतर कोणतेही दार — यादीत नाही = शांतता.

या द्वारपालाच्या तीन सवयी:

मुळात उत्तर शांतता असते. 🤫 Inbound यादीत नोंद नाही = बाकाला ठोठावणी ऐकूही येत नाही. तुम्ही दारे स्पष्टपणे उघडता; जे दार कधी उघडलेच नाही ते बंद करायला तुम्ही विसरू शकत नाही.
त्याला संवाद लक्षात राहतात (stateful). त्याने एखादी request आत येऊ दिली, तर तिचे उत्तर तो आपोआप बाहेर जाऊ देतो — उलट्या नियमांची गरज नाही.
तो इतर द्वारपालांना ओळखू शकतो. एखादा नियम म्हणू शकतो "app-sg badge घातलेल्या कोणाकडूनही 5432 allow करा" — groups groups चा संदर्भ देतात. अशा प्रकारे "फक्त app बाकच database बाकांशी बोलू शकतात" हे एकही IP पत्ता न वापरता लिहिले जाते. (k8s course मधली ALB → node जोडणी नेमकी अशीच चालते.)

🗺️ आकृती

flowchart LR
    you["🧑‍💻 you<br/>your IP"]
    net["🌍 the internet"]
    subgraph gate["🧍 security group - the guest list"]
        r1["✅ 22 from 1.2.3.4/32"]
        r2["✅ 80 from 0.0.0.0/0"]
        r3["❌ everything else: silence"]
    end
    desk["🖥️ the desk<br/>never hears denied knocks"]
    you -->|"1 ssh ✅"| gate
    net -->|"2 port 80 ✅ · port 22 ❌"| gate
    gate --> desk
    desk -.->|"3 replies auto-allowed<br/>(stateful)"| net

❓ काय

Security group = stateful, instance-पातळीवरचा, फक्त allow करणारा. Instance च्या network interface ला जोडलेला; चालू असतानाच बदलता येतो (बदल लगेच लागू होतात — reboot नाही).
CIDR notation: 1.2.3.4/32 = नेमका एक पत्ता; 0.0.0.0/0 = सगळे. /24 = 256 पत्ते. /number सांगते की सुरुवातीचे किती bits पक्के आहेत.
NACLs (दुसरी firewall): subnet-पातळीवरची, stateless, Deny नियम असलेली — बाकाच्या द्वारपालाच्या तुलनेत इमारतीचे कुंपण. Default NACL सगळे जाऊ देते; बहुतेक teams SGs ने traffic ला आकार देतात आणि NACLs ना हात लावत नाहीत.
क्लासिक पाप: 22 from 0.0.0.0/0 — संपूर्ण पृथ्वीसाठी SSH उघडा. Scanners तो काही मिनिटांत शोधतात. (आपला tf तुम्हाला मुद्दाम तुमचा IP द्यायला लावतो.)

🤔 का

SGs ही तुम्ही कधीही deploy कराल ती सर्वात स्वस्त सुरक्षा आहे: default-deny आणि स्पष्ट दारे कोणतेही software चालण्याआधीच हल्ल्यांचे संपूर्ण प्रकार काढून टाकतात. आणि group-references हेतू वाचनीय करतात — "db app-sg ला स्वीकारतो" हे firewall मध्येच architecture चे दस्तऐवजीकरण करते.

🧪 करून पाहा (~10 मिनिटे, ~1¢)

cd ec2 && terraform apply -var my_ip=$(curl -s ifconfig.me)/32

IP=$(terraform output -raw public_ip)
curl -m 5 http://$IP                    # door 80: open to all → answers 🎉
nc -zv -w 5 $IP 22                      # door 22 from YOUR IP → open
nc -zv -w 5 $IP 3306                    # random door → TIMEOUT, not "refused":
                                        # the gatekeeper never even answered 🤫

# see the live guest list:
aws ec2 describe-security-groups --filters Name=group-name,Values=school-desk-sg \
  --query 'SecurityGroups[0].IpPermissions[].{port:FromPort,from:IpRanges[0].CidrIp}'

# feel "changes apply instantly": remove the port-80 ingress in ec2.tf,
# terraform apply, curl again → silence. put it back. 😈

terraform destroy -var my_ip=$(curl -s ifconfig.me)/32     # 🧹

✅ तपासा — तुम्हाला काय दिसायला हवे

nc -zv PUBLIC_IP 80 connect होतो; दुसऱ्या IP वरून nc -zv PUBLIC_IP 22 time out होतो (शांतता, नकार नाही).

🧹 साफसफाई — काहीही चालू ठेवू नका

terraform destroy

⚠️ नेहमीच्या चुका

'चालावे म्हणून' प्रत्येक port वर 0.0.0.0/0 ला allow करणे
outbound नियम उत्तरे अडवतील अशी अपेक्षा — SGs stateful आहेत
एकमेकांचा संदर्भ देणारे दोन SGs आणि reception चा कोणता हे विसरणे

⏭️ पुढे

बाक निघून गेला की बाकाच्या सामानाचे काय होते? ड्रॉवर, photocopies, आणि बाकांचे templates: EBS, snapshots & AMIs.

git checkout lesson-11-ebs-snapshots-ami

🚪 Lesson 10 — Security groups: the gatekeeper's guest list

📍 You are here: Lesson 10 of 12 · Previous: lesson-09-connecting · Next: lesson-11-ebs-snapshots-ami

📦 What's in this branch

Lessons 01–09, plus: the per-desk firewall — security groups — and the three rules that make them click. Real file:

ec2/ec2.tf — the aws_security_group block, annotated

🧒 Explain like I'm 5

Every desk gets a gatekeeper 🧍 who checks a guest list before any knock reaches the desk. Ours (from ec2.tf) reads:

✅ door 22 (SSH) — only visitors from my house (1.2.3.4/32) ✅ door 80 (web) — visitors from anywhere (0.0.0.0/0) ❌ any other door — not on the list = silence.

Three habits of this gatekeeper:

The default answer is silence. 🤫 No inbound list entry = the desk never even hears the knock. You open doors explicitly; you can't forget to close a door you never opened.
He remembers conversations (stateful). If he let a request IN, he lets its reply back OUT automatically — no mirror rules needed.
He can recognize other gatekeepers. A rule may say "allow 5432 from anyone wearing the app-sg badge" — groups referencing groups. That's how "only the app desks may talk to the database desks" is written without a single IP address. (The k8s course's ALB → node wiring works exactly like this.)

🗺️ Diagram

flowchart LR
    you["🧑‍💻 you<br/>your IP"]
    net["🌍 the internet"]
    subgraph gate["🧍 security group - the guest list"]
        r1["✅ 22 from 1.2.3.4/32"]
        r2["✅ 80 from 0.0.0.0/0"]
        r3["❌ everything else: silence"]
    end
    desk["🖥️ the desk<br/>never hears denied knocks"]
    you -->|"1 ssh ✅"| gate
    net -->|"2 port 80 ✅ · port 22 ❌"| gate
    gate --> desk
    desk -.->|"3 replies auto-allowed<br/>(stateful)"| net

❓ What

Security group = stateful, instance-level, allow-only. Attached to the instance's network interface; editable live (changes apply instantly — no reboot).
CIDR notation: 1.2.3.4/32 = exactly one address; 0.0.0.0/0 = everyone. /24 = 256 addresses. The /number says how many leading bits are fixed.
NACLs (the OTHER firewall): subnet-level, stateless, has Deny rules — the building's fence vs the desk's gatekeeper. Default NACL passes everything; most teams shape traffic with SGs and leave NACLs alone.
The classic sin: 22 from 0.0.0.0/0 — SSH open to Earth. Scanners find it in minutes. (Our tf makes you pass YOUR IP on purpose.)

🤔 Why

SGs are the cheapest security you'll ever deploy: default-deny plus explicit doors removes whole attack classes before any software runs. And group-references make intent readable — "db accepts app-sg" documents the architecture in the firewall itself.

🧪 Try it (~10 min, ~1¢)

cd ec2 && terraform apply -var my_ip=$(curl -s ifconfig.me)/32

IP=$(terraform output -raw public_ip)
curl -m 5 http://$IP                    # door 80: open to all → answers 🎉
nc -zv -w 5 $IP 22                      # door 22 from YOUR IP → open
nc -zv -w 5 $IP 3306                    # random door → TIMEOUT, not "refused":
                                        # the gatekeeper never even answered 🤫

# see the live guest list:
aws ec2 describe-security-groups --filters Name=group-name,Values=school-desk-sg \
  --query 'SecurityGroups[0].IpPermissions[].{port:FromPort,from:IpRanges[0].CidrIp}'

# feel "changes apply instantly": remove the port-80 ingress in ec2.tf,
# terraform apply, curl again → silence. put it back. 😈

terraform destroy -var my_ip=$(curl -s ifconfig.me)/32     # 🧹

✅ Verify — what you should see

nc -zv PUBLIC_IP 80 connects; nc -zv PUBLIC_IP 22 from a different IP times out (silence, not refusal).

🧹 Clean up — do not leave running

terraform destroy

⚠️ Common mistakes

allowing 0.0.0.0/0 on every port 'to make it work'
expecting outbound rules to block replies — SGs are stateful
two SGs referencing each other and forgetting which one is the reception's

⏭️ Next

What happens to the desk's stuff when the desk goes away? Drawers, photocopies, and desk templates: EBS, snapshots & AMIs.

git checkout lesson-11-ebs-snapshots-ami

← Previousconnecting Next →ebs snapshots ami

This page is the lesson's README from the lesson-10-security-groups branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.