ENI与EC2实例绑定安全组的系列技术疑问

1. 将安全组绑定至ENI与绑定至EC2实例的操作是否等效？ #

不等效。绑定到EC2实例时，这个安全组会自动应用到实例的主ENI上；而绑定到ENI的操作则直接作用于该ENI本身，无论它是主ENI还是附加ENI。简单来说，实例层面的安全组配置本质是给主ENI批量设置安全组，而ENI层面是针对单个网络接口做精准配置。

2. 创建ENI时必须绑定至少一个安全组，EC2实例亦是如此。既然两者的安全组绑定机制作用相同，为何需要分别对ENI和EC2实例进行安全组配置？ #

核心是为了灵活度与场景适配：

• 当实例仅拥有主ENI时，用实例层面配置更高效，无需单独操作ENI；
• 当实例挂载多个ENI时，每个ENI可对应不同网络场景（比如一个连公网、一个连私有内网），给不同ENI配置不同安全组能实现更细粒度的流量控制——例如公网ENI开放80/443端口，内网ENI仅允许VPC内部访问；
• 独立ENI可在实例间迁移，保留自身安全组配置，无需每次迁移都重新配置实例安全组。

3. 若为EC2实例绑定某一安全组，同时将一个带有不同安全组的现有ENI作为主ENI挂载至该实例，会产生什么结果？该ENI从实例分离后是否会被修改？ #

• 挂载完成后，这个ENI的安全组会被替换为实例的安全组。因为主ENI的安全组会与实例的安全组保持同步，当把带有自定义安全组的ENI设为主ENI挂载到实例时，实例的安全组会覆盖ENI原配置；
• 当ENI从实例分离后，它的安全组会恢复到挂载前的状态，即原来的那个不同安全组，不会被永久修改。

4. 当挂载多个ENI的EC2实例使用不同安全组时，会出现什么情况？ #

每个ENI的流量会单独受自身绑定的安全组规则管控，彼此完全独立：

• 比如实例有两个ENI，ENI1绑定允许公网SSH访问的安全组，ENI2绑定仅允许VPC内访问的安全组，那么只有ENI1能接收公网的SSH连接，ENI2仅能处理VPC内部的流量；
• 实例本身的安全组其实仅作用于主ENI（若通过实例层面配置），附加ENI的安全组完全独立，各自的入站、出站规则分别生效，不会互相影响。

内容的提问来源于stack exchange，提问作者Muskan Gupta