安全组配置示例-九游平台

使用须知

在配置安全组规则之前，您需要先了解以下信息：

• 不同安全组之间的实例默认网络隔离，无法互相访问。
• 安全组默认拒绝所有来自外部的请求，即本安全组内的实例网络互通，外部无法访问安全组内的实例。

  您需要遵循白名单原则添加安全组入方向规则，允许来自外部的特定请求访问安全组内的实例。

• 安全组的出方向规则一般默认全部放通，即允许安全组内的实例访问外部。
  如果出方向规则被删除，将会导致安全组内实例无法正常访问外部，您可以参考表1重新添加规则。

  表1 安全组默认出方向规则

  方向	优先级	策略	类型	协议端口	目的地址	描述
  出方向	1	允许	ipv4	全部	0.0.0.0/0	针对全部ipv4协议，允许安全组内的实例可访问外部任意ip和端口。
  出方向	1	允许	ipv6	全部	::/0	针对全部ipv6协议，允许安全组内的实例可访问外部任意ip和端口。

通过本地服务器远程登录云服务器

安全组默认拒绝所有来自外部的请求，如果您需要通过本地服务器远程登录安全组内的云服务器，那么需要根据您的云服务器操作系统类型，在安全组入方向添加对应的规则。

• 通过ssh远程登录linux云服务器，需要放通ssh(22)端口，请参见表2。
• 通过rdp远程登录windows云服务器，需要放通rdp(3389)端口，请参见表3。

  表2 通过ssh远程登录linux云服务器

  方向	优先级	策略	类型	协议端口	源地址
  入方向	1	允许	ipv4	自定义tcp: 22	ip地址：0.0.0.0/0

  表3 通过rdp远程登录windows云服务器

  方向	优先级	策略	类型	协议端口	源地址
  入方向	1	允许	ipv4	自定义tcp: 3389	ip地址：0.0.0.0/0

  源地址设置为0.0.0.0/0表示允许所有外部ip远程登录云服务器，为了确保安全，建议您遵循最小原则，根据实际情况将源ip设置为特定的ip地址，配置示例请参见表4。

  表4 通过特定ip地址远程登录云服务器

  云服务器类型	方向	优先级	策略	类型	协议端口	源地址
  linux云服务器	入方向	1	允许	ipv4	自定义tcp: 22	ip地址：192.168.0.0/24
  windows云服务器	入方向	1	允许	ipv4	自定义tcp: 3389	ip地址：10.10.0.0/24

在本地服务器远程连接云服务器上传或者下载文件（ftp）

安全组默认拒绝所有来自外部的请求，如果您需要在本地服务器远程连接云服务器上传或者下载文件，那么您需要开通ftp(20、21)端口。

在云服务器上搭建网站对外提供web服务

安全组默认拒绝所有来自外部的请求，如果您在云服务器上搭建了可供外部访问的网站，则您需要在安全组入方向添加对应的规则，放通对应的端口，例如http(80)、https(443)。

使用ping命令验证网络连通性

icmp协议用于网络消息的控制和传递，因此在进行一些基本测试操作之前，需要开通icmp协议访问端口。比如，您需要在某个个人pc上使用ping命令来验证云服务器的网络连通性，则您需要在云服务器所在安全组的入方向添加以下规则，放通icmp端口。

实现不同安全组的实例内网网络互通

同一个vpc内，位于不同安全组内的实例网络不通。如果您需要在同一个vpc内的实例之间共享数据，比如安全组sg-a内的云服务器访问安全组sg-b内的mysql数据库，您需要通过在安全组sg-b中添加一条入方向规则，允许来自安全组sg-a内云服务器的内网请求进入。

云服务器提供数据库访问服务

限制云服务器访问外部网站

安全组的出方向规则一般默认全部放通，默认规则如表11所示。如果您需要限制服务器只能访问特定网站，则按照如下要求配置：

1. 首先，您需要遵循白名单规则，在安全组出方向规则中添加指定的端口和ip地址。

   表10 限制云服务器访问外部网站

   方向	优先级	策略	类型	协议端口	目的地址	描述
   出方向	1	允许	ipv4	自定义tcp: 80	ip地址：132.15.xx.xx	允许安全组内云服务器访问指定的外部网站，网站地址为http://132.15.xx.xx:80。
   出方向	1	允许	ipv4	自定义tcp: 443	ip地址：145.117.xx.xx	允许安全组内云服务器访问指定的外部网站，网站地址为https://145.117.xx.xx:443。

2. 其次，删除安全组出方向中原有放通全部流量的规则，如表11所示。

   表11 安全组默认出方向规则

   方向	优先级	策略	类型	协议端口	目的地址	描述
   出方向	1	允许	ipv4	全部	0.0.0.0/0	针对全部ipv4协议，允许安全组内的实例可访问外部任意ip和端口。
   出方向	1	允许	ipv6	全部	::/0	针对全部ipv6协议，允许安全组内的实例可访问外部任意ip和端口。