​​Теперь можно ссылаться на Security Groups из другой VPC, которая присоединена через Transit Gateway:

https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/security-group-rules-reference.html#tgw-vpc-rules

Раньше можно было ссылаться на SG из других VPC только через VPC peering, теперь можно из через TGW. Правда для этого потребуется обновить TGW или VPC attachment:

https://docs.aws.amazon.com/vpc/latest/tgw/tgw-sg-updates.html

Особенности:

▪️ Ссылаться через TGW peering нельзя (VPC -> TGW -> TGW peering -> TGW -> VPC, только VPC -> TGW -> VPC).
▪️ Ссылаться можно лишь в правиле для входящего трафика.
▪️ Не работает на древних виртуалках (только Nitro-based EC2 instances).
▪️ Не работает на любых виртуалках, расположенных в древних датацентрах, конкретно подзона use1-az3 (которую всегда рекомендовал исключать).
▪️ Не работает, как минимум пока, с PrivateLink и Reachability Analyzer.

Кому-то мелкая вещь и бессмысленная вещь, а кому-то упрощение управление зоопарком Security Groups в сложной сети.

#VPC #TransitGateway #SecurityGroup

Теперь можно ссылаться на Security Group из другой VPC не только подключённую через VPC Peering, но и через Transit Gateway:

https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-security-group-referencing-for-aws-transit-gateway/

Для этого потребуется указать опцию. Security Group Referencing support при создании TGW или модифицировать имеющийся.

https://docs.aws.amazon.com/vpc/latest/tgw/tgw-vpc-attachments.html#vpc-attachment-security

⚠️ Также, как и для VPC Peering — работает лишь в том же AWS Region.

⚠️ Не сработает, если между VPC будет подключен AWS Network Firewall.

P.S. Закрыт ещё один гештальт длиной в шесть лет.

#SecurityGroup #VPC #TransitGateway

🆕 Shared Security Group 🎉

https://docs.aws.amazon.com/vpc/latest/userguide/security-group-sharing.html

Что ж, свершилось. С момента появления Shared VPC 6 лет назад, это первое, чего хотелось бы иметь в комплекте.

Как круто было пошарить VPC сразу на многие аккаунты! Но каждый раз нужно было решать проблему с Security Groups, которые при этом не шарились. Приходилось писать костыли, создающие Security Groups в каждом аккаунте вручную.

Топил за #Shared_VPC все эти годы, теперь же вместе с Shared Security Group это вообще круто. Шаринг VPC уже давно стал best practices, а вместе с шарингом Transit Gateway это вообще ключевые элементы для построения современной сетевой архитектуры в AWS.

#SecurityGroup #VPC #RAM