Jan
20
2021
安全组概述
分类：
已被围观
安全组是一种虚拟防火墙，具备状态检测和数据包过滤能力，用于在云端划分安全域。通过配置安全组规则，您可以控制安全组内ECS实例的入流量和出流量。
安全组定义
安全组是一个逻辑上的分组，由同一地域内具有相同安全保护需求并相互信任的实例组成。
安全组具有以下功能特点：
- 一台ECS实例至少属于一个安全组，可以同时加入多个安全组。
- 一个安全组可以管理同一个地域内的多台ECS实例。
- 在没有设置允许访问的安全组规则的情况下，不同安全组内的ECS实例之间默认内网不通。
- 安全组支持有状态应用。一个有状态的会话连接中，会话的最长保持时间是910秒。安全组会默认放行同一会话中的通信。例如，在会话期内，如果连接的数据包在入方向是允许的，则在出方向也是允许的。
安全组类型
安全组分为普通安全组和企业安全组。下表列举了两种类型安全组的功能差异。
| 功能 | 普通安全组 | 企业安全组 |
|---|---|---|
| 支持所有实例规格 | 是 | 否，实例网络类型必须是专有网络VPC |
| 网络类型 | 专有网络VPC和经典网络 | 仅专有网络VPC |
| 未添加任何规则时的访问策略 |
|
|
| 默认安全组规则 |
|
|
| 手动添加安全组规则 | 可按需添加允许或拒绝策略的规则 | 仅可按需添加允许策略的规则 |
| 设置规则优先级 | 默认值为1，可修改 | 固定为1，不支持修改 |
| 授权给其他安全组 | 支持组组授权 | 不支持组组授权 |
| 支持绑定弹性网卡到任意实例规格 | 否，实例网络类型必须是专有网络VPC | 否，实例网络类型必须是专有网络VPC |
| 能容纳的私网IP地址数量 | 2000 | 65536 |
| 同一个安全组内实例之间的网络连通策略 | 默认内网互通 | 默认内网隔离，需要您手动添加安全组规则 |
| 适用场景 | 适用于对网络精细化控制要求较高、希望使用多种ECS实例规格、以及网络连接数适中的用户场景。 | 适用于对运维效率、ECS实例规格以及计算节点的规模有更高需求的用户场景。 |
安全组规则
建立数据通信前，安全组逐条匹配安全组规则查询是否放行访问请求。一条安全组规则由规则方向、授权策略、协议类型、端口范围、授权对象等属性确定， 具体详见下表。
| 属性 | 说明 |
|---|---|
| 规则方向 |
根据实例的网络类型区分：
|
| 授权策略 |
支持允许、拒绝两种访问策略。
说明 企业安全组仅支持设置允许策略。
|
| 协议类型 | TCP、UDP、ICMP（IPv4）和GRE。 |
| 端口范围 | 应用或协议开启的端口。详情可参见常用端口。 |
| 优先级 |
优先级的取值范围为1~100，数值越小，代表优先级越高。
同类型规则间依赖优先级决定最终执行的规则。当ECS实例加入了多个安全组时，多个安全组会从高到低依次匹配规则。最终生效的安全组规则如下：
说明 企业安全组规则优先级固定为1，不支持修改。
|
| 授权对象 |
支持设置IP地址段和安全组ID。
说明 企业安全组不支持设置安全组ID，即不支持组组授权。
|
不同通信场景需要设置的安全组规则属性不同。例如，您使用Xshell客户端远程连接Linux系统ECS实例时，当安全组检测到从公网或内网有SSH请求，会逐一检查入方向上安全组规则、发送请求的设备的IP地址是否已存在、优先级是为同类规则第一、授权策略是否为允许、22端口是否开启等。只有匹配到一条安全组规则允许放行该请求时，方才建立数据通信。下图为使用Xshell远程连接Linux系统ECS实例的规则匹配举例。
更多规则配置示例，请参见安全组应用案例。
默认安全组
通过ECS管理控制台创建实例时，若您未在该地域创建安全组，则阿里云会在创建实例的同时，创建一个默认安全组。默认安全组为普通安全组，网络类型和ECS实例一致。
默认安全组的默认安全组规则如下：
-
入方向：
- 默认放行：ICMP协议、SSH 22端口、RDP 3389端口，授权对象为0.0.0.0/0。
- 更多选择：HTTP 80端口和HTTPS 443端口，需自行勾选。
-
规则优先级：100。
说明 2020年05月27日以前系统创建的默认安全组规则的优先级为110。
- 出方向：允许所有访问。
使用限制
ECS实例和弹性网卡对所属的安全组类型有以下要求：
- 一台ECS实例的主弹性网卡不能同时加入普通安全组和企业安全组。
- 一张辅助弹性网卡不能同时加入普通安全组和企业安全组。
更多有关安全组的使用限制及配额，请参见安全组使用限制。
实践建议
安全组的使用流程，您可以参见操作导航。以下为一些实践建议。
使用安全组时
- 仅允许少量请求访问ECS实例时，可以将安全组作为白名单使用。即先设置安全组为拒绝全部访问，然后逐一添加允许通信的访问请求策略。
- 不建议使用一个安全组管理所有应用，不同的分层一定有不同的隔离需求。
- 不建议为每台ECS实例单独设置一个安全组，您只需将具有相同安全保护需求的ECS实例加入同一安全组。
添加安全组规则时
- 建议您设置简洁的安全组规则。如果您给一台ECS实例分配了多个安全组，该ECS实例很可能会同时遵循数百条安全组规则，任何规则变更都可能引起网络不通的故障。
- 如果您需要修改生产环境的安全组规则，建议您提前在克隆的安全组上进行调试，避免影响线上应用。详情请参见克隆安全组。
-
为应用添加安全组规则时遵循最小授权原则。例如，您可以：
- 选择开放具体的端口，如80/80。不要设置为端口范围，如1/80。
- 添加安全组规则时，谨慎授权0.0.0.0/0（全网段）访问源。
-
-
如果您有其他问题，可以联系北京志远天辰阿里云代理商，为您提供一对一专业全面的技术服务，同时新老阿里云会员，均可享受我公司代理商价格，欢迎咨询！
本公司销售：阿里云新/老客户，只要购买阿里云，即可享受折上折优惠！>
我有话说：