閱讀226 返回首頁    go 阿裏雲

雲服務器 ECS 安全組 應用案例

應用案例

除了提供安全保障，您還可以使用安全組實現：

  • 案例 1：內網互通

  • 案例 2：攔截特定 IP 或 端口

  • 案例 3：隻允許特定 IP 遠程登錄到實例

  • 案例 4：隻允許實例訪問外部特定 IP

說明：本文檔介紹的案例僅適用於經典網絡。

案例 1：使用安全組實現內網互通

在經典網絡下，您可以使用安全組實現不同 ECS 實例間的內網互通。有兩種情況：

  • 場景 1：實例屬於同一個地域，同一個賬號

  • 場景 2：實例屬於同一個地域，不同賬號

場景 1：同一地域，同一賬號

同一個地域內，同一個賬號下，經典網絡下可以通過安全組規則設置雲服務器之間內網互通。

同一個安全組下的雲服務器，默認內網互通。不同的安全組下的雲服務器，默認內網不通。要實現內網互通，有以下解決辦法：

  • 方案 1：可以把雲服務器放入到相同的安全組中，就可以滿足內網都互通了。

  • 方案 2：如果雲服務器不在同一個安全組內，兩個安全組互相內網授權安全組訪問類型的安全組規則。在 授權對象 中添加對方的 IP 地址即可。

場景 2：同一地域，不同賬號

同一個地域內，不同賬號下，經典網絡下可以通過安全組規則設置兩台雲服務器之間內網互通。比如：

  • UserA 的用戶在華東 1 (杭州)有一台經典網絡的 ECS 雲服務器 InstanceA（內網 IP：A.A.A.A），InstanceA 所屬的安全組為 GroupA；

  • UserB 的用戶在華東 1 (杭州)有一台經典網絡的 ECS 雲服務器 InstanceB（內網 IP：B.B.B.B），InstanceB 所屬的安全組為 GroupB。

這種情況下，可以通過安全組配置實現 InstanceA 和 InstanceB 在內網上互通。步驟如下：

  1. UserA 為 GroupA 添加一條這樣的規則：在 內網入方向 授權 B.B.B.B 的 IP 可以訪問 GroupA 下的所有 ECS 雲服務器。

  2. UserB 為 GroupB 添加一條這樣的規則：在 內網入方向 授權 A.A.A.A 的 IP 可以訪問 GroupB 下的所有 ECS 雲服務器。

這樣兩台實例就可以互通了。

案例 2：使用安全組屏蔽、攔截、阻斷特定 IP 或端口對 ECS 實例的訪問

您可以使用安全組屏蔽、攔截、阻止特定 IP 對用戶雲服務器的訪問，或者屏蔽 IP 訪問服務器的特定端口。操作如下：

  1. 登錄 雲服務器管理控製台。

  2. 找到要配置的實例。

  3. 打開實例的 本實例安全組 點擊 配置規則。

  4. 單擊 公網入方向，然後單擊 添加安全組規則。

  5. 授權策略選擇 拒絕，授權對象 輸入需要屏蔽的 IP 地址。單擊 確定。

  6. 如果是針對特定端口的限製，比如屏蔽一個特定 IP 訪問自己 ECS 實例的 22 端口，授權策略選擇 拒絕，協議類型選擇 TCP，端口範圍填寫為 22/22，授權對象填寫待屏蔽的 IP 地址。單擊 確認。

案例 3：隻允許特定 IP 遠程登錄到實例

通過配置安全組規則可以設置隻讓特定 IP 遠程登陸到實例。隻需要在公網入方向配置規則就可以了。

以 Linux 服務器為例，設置隻讓特定 IP 訪問 22 端口。

  1. 添加一條公網入方向安全組規則，允許訪問，協議類型選擇 TCP，端口寫 22/22，授權類型為地址段訪問，IP 寫指定允許遠程鏈接的 IP，優先級為 1。
    特定IP

  2. 再添加一條規則，拒絕訪問，協議類型選擇 TCP，端口寫 22/22，授權類型為地址段訪問，授權對象寫所有 0.0.0.0/0，優先級為 2。

  3. 再添加一條規則，允許訪問，協議類型選擇全部，端口全部默認，授權對象寫所有 0.0.0.0/0，優先級為 3。

添加完畢後總共如下三條規則就可以了。設置完之後：

  • 來自 IP 182.92.253.20 訪問 22 端口優先執行優先級為 1 的規則允許。

  • 來自其他 IP 訪問 22 端口優先執行優先級為 2 的規則拒絕了。

  • 訪問其他端口執行優先級為 3 的規則允許。

案例 4：隻允許實例訪問外部特定 IP

您可以先配置一條公網出方向規則禁止訪問任何 IP（0.0.0.0/0），然後再添加一條公網出方向規則允許實例對外訪問的IP。允許規則的優先級設置成高於禁止規則的優先級。

  1. 點擊 公網出方向>添加安全組規則，授權策略選擇 拒絕，授權對象 0.0.0.0/0，優先級可能設置為比1大的數字。
    允許訪問外部特定IP

  2. 在公網出方向繼續添加安全組規則，授權策略選擇 允許，授權對象是允許實例訪問的特定外部 IP。
    允許訪問外部特定IP

  3. 在實例內部進行 ping、telnet 等測試，訪問非允許規則中列出的 IP均不通，說明安全組的限製已經生效。


最後更新：2016-05-14 10:18:04

  上一篇：go 雲服務器 ECS網絡和安全性內網
  下一篇：go 雲服務器 ECS > 購買指導 > 購買磁盤 > 新購