EC2에서 22번 포트를 막아도 AWS 콘솔로 접속 가능한가요?

네, EC2에서 22번 포트를 막아도 AWS 콘솔을 통해 인스턴스에 접속할 수 있는 방법이 있습니다.

1. 22번 포트를 완전히 차단한 상태에서도 AWS Systems Manager Session Manager를 사용하여 콘솔에서 셸 접속이 가능합니다. 이는 SSH(22번 포트)를 사용하지 않고도 EC2 인스턴스에 접속할 수 있는 공식적인 방법입니다. 제공된 정보에 따르면, SSH 연결이 실패한 경우에도 Systems Manager Session Manager를 통해 EC2에 연결하여 sshd 설정을 재구성할 수 있습니다.

2. EC2 Instance Connect에 대한 구체적인 정보는 제공된 소스에 명확히 나와있지 않습니다. 일반적으로 EC2 Instance Connect는 브라우저 기반 SSH 연결을 제공하지만, EIC Endpoint와 관련된 22번 포트 요구사항에 대한 구체적인 정보는 제공된 소스에서 확인할 수 없습니다.
   Sources
   port 22: Connection refused 포트22 연결 거절 관련 문의 | AWS re:Post

안녕하세요, 질문자께서 문의주신 2가지 사항에 대해 답변드립니다.

[Q1. 22번 포트를 완전히 차단한 상태에서도 AWS 콘솔로 접근 가능한지요?]

A1. 네, 가능합니다. 이는 사용하는 접속 방법에 따라 다릅니다.

a. 22번 포트 없이 접속하기:

• AWS Systems Manager Session Manager : Session Manager는 IAM, SSM Agent와 엔드포인트를 통해 인스턴스에 접근하며 자세한 사항은 문서[1]을 참고 바랍니다.
• EC2 Serial Console : 권한 부여 및 사전 조건에 대해서는 문서[2]를 참고 바랍니다.

b. 22번 포트를 사용하여 접속하기:

• EC2 Instance Connect (브라우저 SSH)
• EC2 Instance Connect Endpoint

[Q2. EC2 Instance Connect(브라우저 SSH)는 인스턴스의 TCP 22번 포트가 반드시 열려 있어야 하는지, EIC Endpoint를 사용해도 최종적으로 22번 포트가 필요한지요?]

A2. 네, EC2 Instance Connect(브라우저 SSH)를 사용해 접속할 시, 22번 포트가 반드시 필요합니다. 이는 다음과 같은 작동 원리 때문입니다 :

• AWS가 임시 SSH 공개키를 인스턴스의 ~/.ssh/authorized_keys에 60초간 추가
• 브라우저에서 해당 키로 실제 SSH 연결 (TCP 22번 포트) 수행
• 60초 후 임시 키 자동 삭제

따라서 EIC Endpoint를 사용하여도 다음 사유로 인해 최종적으로 22번 포트가 필요합니다.

• EIC Endpoint가 VPC 내부에 생성됨
• 클라이언트가 EIC Endpoint를 통해 프라이빗 인스턴스에 접근
• EIC Endpoint에서 인스턴스로 Proxy 연결

EIC Endpoint에 대한 자세한 내용은 문서[3]를 참고 바랍니다.

추가로 궁금하신 사항이나 구체적인 설정에 대해 도움이 필요하시면 서포트 케이스를 열어주시면 언제든지 도움을 드리겠습니다.

감사합니다.

Reference
[1] Session Manager를 사용하여 Amazon EC2 인스턴스에 연결 : https://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/connect-to-an-amazon-ec2-instance-by-using-session-manager.html
[2] EC2 직렬 콘솔 사전 조건 : https://docs.aws.amazon.com/ko_kr/AWSEC2/latest/UserGuide/ec2-serial-console-prerequisites.html
[3] Introducing EC2 Instance Connect Endpoint : https://aws.amazon.com/ko/blogs/compute/secure-connectivity-from-public-to-private-introducing-ec2-instance-connect-endpoint-june-13-2023/