# VPC Prefix List: uma lista de IPs para vários Security Groups

> Pare de trocar IP regra por regra: crie uma Prefix List na VPC, referencie nos Security Groups e atualize a liberação de SSH em um lugar só.

- Autor: Henrylle Maia, consultor AWS
- Publicado em: 2026-10-15
- Assuntos: Segurança, Rede
- URL: https://pages.formacaoaws.com.br/blog/vpc-prefix-list-security-group/
- Aula de origem: "Gerenciando lista de IPS para usar com AWS Security Groups (VPC Prefix List)" (https://www.youtube.com/watch?v=QZUyiRzD1s0)

Quando o seu IP muda, o SSH para de funcionar e você corrige regra por regra, em cada Security Group. Com uma Prefix List da VPC você guarda os IPs num lugar só, referencia a lista nos Security Groups e troca um IP sem editar regra nenhuma.

## O problema: o IP muda e a regra fica para trás

Imagine uma EC2 na AWS e um time de desenvolvimento que precisa acessá-la. Você libera o IPv4 de cada desenvolvedor no Security Group. Se um deles trabalha de casa, com o roteador de um provedor, o IP fica mudando.

A cada troca, é preciso apagar a entrada antiga e criar uma nova. Com duas instâncias e dois Security Groups, são duas regras para corrigir. Multiplique por 5 ou 10 desenvolvedores em 5 Security Groups e o problema toma escala. O motivo é simples: o recurso está sendo usado da forma errada.

Foi o que aconteceu comigo. Meu IP mudou e eu não conseguia conectar na primeira EC2. Entrei na regra de entrada do Security Group, troquei o IP e a conexão voltou. A segunda EC2 também não conectava, e como ela tem outro Security Group, tive que editar outra regra.

O que eu queria era um lugar central com todos os IPs, e os Security Groups apenas referenciando essa lista. De bônus, um histórico das trocas: do jeito antigo, eu nem sei qual era o IP anterior.

## O que é a Prefix List

A Managed Prefix List é um recurso da VPC. Pelo que lembro, a AWS criou por volta de 2020, e ela vem ampliando a integração com outros serviços. No console da VPC, aparece como **Managed prefix lists**.

Já existem listas gerenciadas pela AWS ali, mas o que interessa aqui é criar a sua, com os IPs do time. Não tem custo para usar.

## Passo 1: criar a Prefix List

No console da VPC, abra **Managed prefix lists** e clique em **Create prefix list**.

1. Dê um nome à lista. Usei `pl-ip-devs`.
2. Defina o **Max entries**, o número máximo de entradas. Como o meu time tinha duas pessoas, coloquei 2.
3. Deixe a família de endereços em **IPv4**. Ela não pode ser alterada depois que a lista é criada.
4. Em **Add new entry**, informe o IP no formato CIDR (`/32` para um endereço só) e uma descrição.
5. Clique em **Create prefix list**.

![Criação da Prefix List pl-ip-devs com máximo de 2 entradas, família IPv4 e uma entrada com a descrição "IP HENRYLLE" (IP borrado)](https://pages.formacaoaws.com.br/blog/assets/posts/vpc-prefix-list-security-group/criar-prefix-list.webp)

O console não tem aqui o atalho de "meu IP", então copiei o IP que já estava liberado na regra do Security Group.

## Passo 2: tirar o IP solto dos Security Groups

Para cada Security Group que tinha o seu IP direto na regra:

1. Abra o Security Group e clique em **Edit inbound rules**.
2. Remova a regra que tem o IP digitado.

Faça isso nos dois Security Groups do meu teste.

## Passo 3: referenciar a Prefix List na regra de SSH

Ainda em **Edit inbound rules**, crie a regra de SSH de novo, mas agora a origem é a lista:

1. Em **Type**, escolha **SSH**.
2. No campo de origem, selecione a Prefix List. O ID aparece com o prefixo `pl-`. Escolhi a `pl-ip-devs`.
3. Coloque uma descrição, como "liberacao de ip dos devs".
4. Clique em **Save rules**.

Repita no outro Security Group. A lista é a mesma nos dois.

![Terceira regra de entrada com a Prefix List pl-0865868a5d5d41890 como origem e a descrição "liberacao de ip dos devs"](https://pages.formacaoaws.com.br/blog/assets/posts/vpc-prefix-list-security-group/regra-sg-com-prefix-list.webp)

Depois, voltei a me conectar nas duas instâncias. As duas conexões funcionaram.

**Fluxo:** Prefix List (os IPs dos devs) → Security Group (referencia a lista) → Regra SSH (origem é a Prefix List) → EC2 (acesso liberado)

## Passo 4: trocar um IP só na lista

Aqui está o ganho. Se o seu IP mudou, abra a Prefix List, troque o IP na entrada e salve. A alteração se espalha automaticamente por todos os Security Groups que referenciam a lista. Nenhuma regra de Security Group precisa ser editada.

> **Atenção:** o máximo de entradas vale para a lista inteira. Para colocar mais gente, redimensione a lista (veja abaixo).

## Recursos que ajudam no dia a dia

**Versionamento.** A lista guarda versões. No meu teste troquei o IP e ela foi para a versão 2. A opção de restaurar mostra a versão atual e a anterior: você escolhe uma e restaura a lista. Se eu trocar um IP por acidente, existe um histórico para voltar.

![Tela de restaurar versão da Prefix List: o seletor lista a versão 2 (atual) e a versão 1 (IP borrado)](https://pages.formacaoaws.com.br/blog/assets/posts/vpc-prefix-list-security-group/restaurar-versao-prefix-list.webp)

**Redimensionar.** Se o time cresce, use **Resize prefix list** e aumente o máximo de entradas. Eu passei de 2 para 4, e a lista passou a aceitar até quatro itens.

**Associações.** Na aba **Associations** a lista mostra quais recursos a estão usando. No meu teste, os dois Security Groups. Dá para ver na hora o que depende da lista.

![Aba Associations da Prefix List: "Prefix list associations (2)", com os IDs dos dois Security Groups que a referenciam](https://pages.formacaoaws.com.br/blog/assets/posts/vpc-prefix-list-security-group/associacoes-prefix-list.webp)

**Exportar.** A lista também pode ser exportada, se você quiser ter uma cópia.

## Checklist

- Liste os Security Groups onde há IP de pessoa digitado direto na regra.
- Crie a Prefix List na VPC com o máximo de entradas que o time precisa.
- Cadastre cada IP em CIDR, com uma descrição de quem é.
- Remova a regra com o IP solto de cada Security Group.
- Crie a regra de SSH com a Prefix List como origem.
- Teste a conexão em cada instância.
- Quando um IP mudar, altere só a entrada da lista.
- Use as versões para voltar atrás e as associações para ver quem usa a lista.

Quem tem vários Security Groups e uma lista de IPs que muda não precisa ficar editando regra por regra. Uma Prefix List resolve isso, sem custo.