Chỉ cho phép truy cập vào EC2 từ 1 quốc gia

Tôi cần hạn chế quyền truy cập vào các cổng http(s) và pop/imap của phiên bản EC2 ở một quốc gia. Đó là một yêu cầu từ kiểm toán viên an ninh. Nó sẽ không ngăn truy cập qua vpn, nhưng ít nhất nó sẽ không được mở trực tiếp.

Có 2 câu hỏi ở đây về cùng một chủ đề: Nhóm bảo mật AWS EC2 Chỉ truy cập SSH từ Hoa Kỳ,

Truy cập web của Nhóm bảo mật AWS EC2 từ một quốc gia?

Các câu trả lời trong cả hai đều yêu cầu thêm các khối mạng của quốc gia trong Nhóm bảo mật. Tôi muốn biết nếu có ai đã thực hiện nó trong sản xuất?

Với giới hạn 50 quy tắc cho mỗi nhóm bảo mật và 5 nhóm bảo mật cho mỗi phiên bản, liệu có thể thêm tất cả các khối mạng vào nhóm bảo mật không?

Các khối có thay đổi thường xuyên không? Chúng ta có cần tự động hóa để kiểm tra và cập nhật hàng ngày không?

Cuối cùng, có giải pháp nào tốt hơn bằng cách sử dụng các tính năng/dịch vụ gốc của AWS - có thể là sử dụng Tường lửa mạng AWS không?

Có lẽ cách tốt nhất là chỉ cho phép một số IP kết nối với máy chủ HOẶC thực hiện công việc trực tiếp trong ứng dụng của bạn (như ip này không được bản địa hóa ở quốc gia này, tôi từ chối quyền truy cập)

Nhưng hãy nhớ rằng người dùng từ các quốc gia khác vẫn có thể sử dụng VPN để giả mạo bản địa hóa của họ. Vì vậy, bằng cách chỉ giới hạn ở IP là hạn chế tốt nhất bạn có thể có!