EC2上Postfix邮件服务直接公网暴露是否安全，需改用NLB或单独部署吗？

同实例部署的安全风险 #

存在明确的安全风险，核心问题包括：

• 一旦Postfix出现未修复的已知漏洞、或是被0day漏洞攻破，攻击者拿到Docker容器权限后，如果你的容器配置存在缺陷（比如特权模式启动、挂载了宿主机敏感目录、额外开放了cap权限），很容易实现容器逃逸拿到EC2宿主机的完全控制权，直接泄露所有私有微服务的代码、配置、数据。就算没有容器逃逸，攻击者也可以通过容器内部网络直接访问同宿主机未做网络隔离的其他私有服务端口。
• 25端口是公网DDoS攻击、端口嗅探的高发目标，针对邮件服务的攻击流量很容易占满EC2的公网带宽、耗尽CPU/内存资源，直接导致同实例上的其他私有服务不可用。
• 公网流量和私有服务的流量混在同一实例，会导致安全审计、访问控制规则的配置变得非常混乱，很难单独针对邮件服务做流量过滤和风险排查。

改用NLB是否是更优方案 #

是，相比直接给EC2绑定公网IP暴露25端口，用NLB转发的方案优势非常明显：

• NLB自带基础DDoS防护能力，可以在流量进入你的VPC之前就过滤掉大部分SYN洪水、畸形包等攻击流量，不会让无效流量占用EC2的资源，降低攻击对同实例其他服务的可用性影响。
• 你可以把部署服务的EC2放到私有子网，不需要绑定公网IP，仅放通NLB到EC2 25端口的安全组规则，私有服务的端口完全不会出现在公网暴露路径上，大幅缩小攻击面。
• 你可以单独针对NLB配置流量监控、访问控制规则，不需要和EC2上其他私有服务的规则混杂，运维、排查问题的成本更低。
• 注意：NLB只能降低公网层面的攻击风险，无法解决同实例部署带来的内部横向移动、容器逃逸等问题。

公网服务是否需要单独部署 #

从安全架构的最佳实践角度，必须单独部署，这个优化的优先级远高于加NLB：

• 公网暴露的服务属于高风险安全域，内部私有微服务属于低风险安全域，两个域必须做严格的故障域、安全域隔离，不能共享任何计算资源。你可以用一台单独的低配置EC2部署邮件服务，单独给这个实例配置更严格的安全组、审计规则，就算该实例被攻破，也完全不会影响你其他私有服务的安全。
• 仅用于收信的Postfix资源消耗非常低，单独部署新增的成本极低，但可以规避90%以上的跨服务攻击风险，投入产出比非常高。

内容的提问来源于stack exchange，提问作者czende