Le suivi des connexions du groupe de sécurité EC2 ajoute la prise en charge des délais d’inactivité configurables

Aujourd’hui, AWS a annoncé une nouvelle fonctionnalité EC2 pour configurer les délais d’inactivité pour le suivi des connexions d’instance. Cela permettra aux clients de gérer les ressources de suivi des connexions de leur instance et leur offrira la possibilité de configurer des délais d’attente optimaux pour gérer l’échelle des connexions. EC2 utilise le suivi des connexions (conntrack) pour implémenter des groupes de sécurité et appliquer des règles. Grâce à cette nouvelle fonctionnalité, les délais d’inactivité pour les connexions dans les sessions TCP établies, flux UDP et UDP unidirectionnelles sur les instances EC2 sont désormais configurables pour chaque interface Elastic Network Interface (ENI) et peuvent être modifiés à partir de leurs paramètres de délai d’expiration par défaut. Avant aujourd’hui, toutes les connexions inactives dans les états TCP et UDP étaient suivies pendant une période par défaut prédéfinie ou jusqu’à leur fermeture.

Il arrive souvent que les charges de travail des clients utilisent leur allocation de suivi des connexions sur EC2 de manière inefficace, car elles disposent d’un nombre élevé de connexions orphelines ou inactives. Pour les connexions TCP, si une instance EC2 n’envoie ou ne reçoit pas de FIN ou de RST, les connexions peuvent rester inactives jusqu’à 5 jours. De même, pour les charges de travail DNS lourdes utilisant des flux UDP, les clients peuvent éviter l’épuisement du suivi des connexions en configurant des délais d’inactivité plus courts. En spécifiant les valeurs de délai d’expiration « tcp-established », « udp-stream », « udp-timeout » pour les ENI attachées à une instance, EC2 purgera désormais ces sessions à la valeur de délai d’expiration spécifiée.