Нужен ли ssh_from в конфигурации параллельного кластера?

Question

В блоге AWS параллельный кластер они рекомендуют использовать ssh_from в конфигурации параллельного кластера:

По умолчанию мы разрешим входящий SSH с любого исходного IP (0.0.0.0/0), и я хочу ограничить это только моим IP-адресом. Я рекомендую вам сделать нечто подобное, добавив свой IP-адрес или доверенный блок CIDR (например, 10.10.0.0/16).

Тем не менее, мне все еще нужно использовать пару ключей для доступа к моему головному узлу, так необходим ли ssh_from? Какие дополнительные преимущества это дает?

Answer 1

Безопасность строится в слоях.

Ограничивая SSH только вашей системой (-ами), она сокращает площадь поверхности для защиты -

если злоумышленник не может даже увидеть SSH, значит, он не может атаковать его. Это предотвращает потерю ресурсов, отвечающих и не в состоянии договориться о зашифрованном соединении и уменьшает потенциальные недостатки в SSH и утечках ключей.

Если вы готовы отложить все эти риски в сторону, тогда вы можете открыть SSH для всего мира - это просто не лучшая практика.