阅读887 返回首页    go 阿里云

应用案例__安全组_用户指南_云服务器 ECS-阿里云

除了提供安全保障，您还可以使用安全组实现：

  • 案例 1：内网互通
  • 案例 2：拦截特定 IP 或 端口
  • 案例 3：只允许特定 IP 远程登录到实例
  • 案例 4：只允许实例访问外部特定 IP

说明：本文档介绍的案例仅适用于经典网络。

安全组有如下限制：

  • 每个用户最多创建 100 个安全组
  • 每个安全组最多添加 1000 个实例
  • 每个实例最多加入 5 个安全组
  • 每个安全组最多创建 100 条规则

案例 1：使用安全组实现内网互通

在经典网络下，您可以使用安全组实现不同 ECS 实例间的内网互通。有两种情况：

  • 场景 1：实例属于同一个地域，同一个账号
  • 场景 2：实例属于同一个地域，不同账号

场景 1：同一地域，同一账号

同一个地域内，同一个账号下，经典网络下可以通过安全组规则设置云服务器之间内网互通。

同一个安全组下的云服务器，默认内网互通。不同的安全组下的云服务器，默认内网不通。要实现内网互通，有以下解决办法：

  • 方案 1：可以把云服务器放入到相同的安全组中，就可以满足内网都互通了。
  • 方案 2：如果云服务器不在同一个安全组内，两个安全组互相内网授权安全组访问类型的安全组规则。在 授权对象 中添加对方的 IP 地址即可。

场景 2：同一地域，不同账号

同一个地域内，不同账号下，经典网络下可以通过安全组规则设置两台云服务器之间内网互通。比如：

  • UserA 的用户在 华东 1 有一台经典网络的 ECS 云服务器 InstanceA（内网 IP：A.A.A.A），InstanceA 所属的安全组为 GroupA；
  • UserB 的用户在 华东 1 有一台经典网络的 ECS 云服务器 InstanceB（内网 IP：B.B.B.B），InstanceB 所属的安全组为 GroupB。

这种情况下，可以通过安全组配置实现 InstanceA 和 InstanceB 在内网上互通。步骤如下：

  1. UserA 为 GroupA 添加一条这样的规则：在 内网入方向 授权 B.B.B.B 的 IP 可以访问 GroupA 下的所有 ECS 云服务器。
  2. UserB 为 GroupB 添加一条这样的规则：在 内网入方向 授权 A.A.A.A 的 IP 可以访问 GroupB 下的所有 ECS 云服务器。

这样两台实例就可以互通了。

案例 2：使用安全组屏蔽、拦截、阻断特定 IP 或端口对 ECS 实例的访问

您可以使用安全组屏蔽、拦截、阻止特定 IP 对用户云服务器的访问，或者屏蔽 IP 访问服务器的特定端口。操作如下：

  1. 登录 云服务器管理控制台。

  2. 找到要配置的实例。

  3. 打开实例的 本实例安全组，然后单击 配置规则。
    1

  4. 单击 公网入方向，然后单击 添加安全组规则。

  5. 授权策略选择 拒绝，授权对象 输入需要屏蔽的 IP 地址。单击 确定。

  6. 如果是针对特定端口的限制，比如屏蔽一个特定 IP 访问自己 ECS 实例的 22 端口，授权策略 选择 拒绝，协议类型 选择 TCP，端口范围填写为 22/22，授权对象填写待屏蔽的 IP 地址和子网掩码，格式为 x.x.x.x/xx，例如 10.1.1.1/32。然后单击 确认。

案例 3：只允许特定 IP 远程登录到实例

通过配置安全组规则可以设置只让特定 IP 远程登录到实例。只需要在公网入方向配置规则就可以了。

以 Linux 服务器为例，设置只让特定 IP 访问 22 端口。

  1. 添加一条公网入方向安全组规则，允许访问，协议类型选择 TCP，端口写 22/22，授权类型为地址段访问，授权对象填写允许远程连接的 IP 地址段，格式为 x.x.x.x/xx，即 IP地址/子网掩码，本例中的地址段为 182.92.253.20/32。优先级为 1。
    特定IP
  2. 再添加一条规则，拒绝访问，协议类型选择 TCP，端口写 22/22，授权类型为地址段访问，授权对象写所有 0.0.0.0/0，优先级为 2。
  3. 再添加一条规则，允许访问，协议类型选择全部，端口全部默认，授权对象写所有 0.0.0.0/0，优先级为 3。

添加完毕后总共如下三条规则就可以了。设置完之后：

  • 来自 IP 182.92.253.20 访问 22 端口优先执行优先级为 1 的规则允许。
  • 来自其他 IP 访问 22 端口优先执行优先级为 2 的规则拒绝了。
  • 访问其他端口执行优先级为 3 的规则允许。

案例 4：只允许实例访问外部特定 IP

您可以先配置一条公网出方向规则禁止访问任何 IP（0.0.0.0/0），然后再添加一条公网出方向规则允许实例对外访问的IP。允许规则的优先级设置成高于禁止规则的优先级。

  1. 单击 公网出方向>添加安全组规则，授权策略选择 拒绝，授权对象 0.0.0.0/0，优先级可设置为比1大的数字。
    允许访问外部特定IP

  2. 在公网出方向继续添加安全组规则，授权策略选择 允许，授权对象是允许实例访问的特定外部 IP。
    允许访问外部特定IP

  3. 在实例内部进行 ping、telnet 等测试，访问非允许规则中列出的 IP均不通，说明安全组的限制已经生效。

最后更新：2016-12-20 13:35:54

  上一篇：go 删除自定义镜像__镜像_用户指南_云服务器 ECS-阿里云
  下一篇：go 安全组默认规则__安全组_用户指南_云服务器 ECS-阿里云