我听到了关于AWS安全群组与传统防火墙之间的对比。安全群组是什么？与防火墙有什么不同？二者能否联合使用?

Dan Sullivan：AWS安全群组和防火墙都是为了限制网络通信的防御机制，二者类似。

防火墙用来控制网络流，从网络的子网或者网络之间控制，比如企业网络或者互联网。在一些情况下，防火墙在单独的机器上使用，比如台式机上的个人防火墙。

防火墙属于一类的网络安全控制，可以从许多不同的厂商那里获得，也有一些开源的项目。

AWS安全群组属于亚马逊Web服务的具体厂商的功能。安全群组提供了一种基于网络的闭锁机制，这也是防火墙提供的。然而，安全群组更易于管理。

防火墙通常用具体的IP规则来配置，比如允许或者锁定具体端口上的流量，或者接受来自某特定服务器的流量。这种硬编码的规则很难管理。比如，如果一个服务器的IP地址改变了，防火墙规则引用旧的IP地址就需要更新。此外，如果额外的服务器增加到提供服务的集群中，这些服务的用户就需要升级防火墙规则，允许这个集群中新成员的流量通过。

AWS安全群组使用策略自动化管理。策略是一套规则，多个服务器来引用。比如，集群中的服务器都可以参照同一个策略，我们将其称之为SecPol_Cluster。当新的服务器添加到其集群中时，他们就可以配置参考SecPol_Cluster。访问来自这个集群的服务的客户端设备通过策略配置，允许同时用SecPol_Cluster策略的服务器进行通信。

使用安全群组减少了必须维护的不同配置的数量，从而减少了配置错误的发生机会。由于防火墙和安全群组执行了重叠的功能，因此同时运行二者只会出现边际效益（比如，一个系统的严重故障可以通过使用其他机制减轻）。