Elastic Compute Service：安全性群組應用案例

在查閱安全性群組應用案例之前，您需要注意以下幾點資訊：

• 安全性群組預設拒絕所有入方向訪問。

• 普通安全性群組預設允許所有出方向訪問。

• 不同安全性群組之間的執行個體預設內網隔離。

• 在網路類型為專用網路的安全性群組中，一條安全性群組規則可以同時適用於公網和內網存取控制。即通過配置一條規則，您可以限制或允許來自公網和內網的流量訪問。

• 在網路類型為傳統網路的安全性群組中，由於傳統網路中公網和內網使用相同的IP地址空間，為了控制公網和內網訪問，需要分別建立不同的安全性群組規則。

• 典型的應用通常使用預設的連接埠來提供服務。這些應用會通過伺服器的特定連接埠與外部進行通訊。更多資訊，請參見常用連接埠。

對於開放公網訪問的網站伺服器，可以設定安全性群組規則，只允許來自任何源的TCP連接埠80（HTTP）和443（HTTPS）的入站流量，確保網站可以被外部存取，但限制了對伺服器上其他服務的直接存取。

安全性群組規則的配置樣本如下表所示：

為了遠端連線ECS執行個體，通常需要開放TCP連接埠22（SSH）或自訂的SSH連接埠。您可以通過設定安全性群組規則，將允許訪問實際遠程連接埠的授權對象限定為特定使用者（如管理員）或特定伺服器的IP，以減少被惡意攻擊的風險。

安全性群組規則的配置樣本如下表所示：

使用阿里雲Workbench遠端連線執行個體時，只需允許特定的授權對象即可，安全性群組入方向規則樣本如下表所示。

在同一個專用網路中，如果需要在執行個體之間進行資料共用等操作，例如安全性群組A的執行個體需要通過FTP訪問安全性群組B的執行個體中的共用檔案，您可以通過授權安全性群組的方式實現內網互連。相比於授權單個IP地址或CIDR地址塊，授權安全性群組能夠更加便捷地實現多個執行個體之間的訪問。您可以輕鬆地允許一組執行個體訪問另一組執行個體，而無需逐個配置每個執行個體的存取權限。

資料庫服務通常需要更嚴格的安全性原則。您可以通過配置安全性群組，僅允許來自特定IP地址或安全性群組（例如應用伺服器所在的安全性群組）的對應連接埠的入站串連，確保資料庫訪問的私密性和安全性。

以下是一些常見資料庫在預設連接埠下的安全性群組規則配置：

根據業務需求，可能需要限制特定的網路通訊協定，例如只允許TCP或UDP的某些連接埠通訊。ICMP協議主要用於在IP主機、路由器之間傳遞控制訊息。在進行一些測試操作之前，需要允許基於ICMP協議的訪問。例如，在用戶端執行ping命令來測試網路連通性時，就需要允許ICMP協議的訪問。安全性群組規則的配置樣本如下表所示：

如果您需要限制執行個體只能訪問指定網站，可以將安全性群組作為白名單使用，設定預設拒絕所有出方向訪問，然後僅允許訪問指定網站的IP。

安全性群組規則的配置樣本如下表所示：

以上規則表示：允許安全性群組內執行個體訪問47.96.XX.XX上80連接埠的HTTP服務和訪問121.199.XX.XX上443連接埠的HTTPS服務，除此之外其他出方向的訪問均不允許。