安全性群組應用指導和案例

安全性群組應用指導

1、明確業務需求，規劃不同的安全性群組

您需要明確您的業務特性以及對安全性的具體要求。例如哪些服務對外公開，哪些服務僅限內部使用。

• 公網服務和內網服務的伺服器盡量屬於不同的安全性群組

  開放多餘的業務連接埠可能會導致自己的應用被公網訪問造成業務不安全，所以雲端服務器所屬的安全性群組規則要採用最嚴格的規則，建議優先拒絕，預設情況下應當關閉所有的連接埠和協議，僅暴露對外提供需要服務的連接埠。

  對外提供伺服器的安全性群組職責應該比較清晰和簡單，避免在同一伺服器上對外提供其他的服務。例如MySQL、Redis等，建議將這些服務安裝在沒有公網存取權限的雲端服務器上，然後通過配置安全性群組規則的授權對象為另一個安全性群組實現存取權限。

• 不同的應用使用不同的安全性群組

  在生產環境中，不同的作業系統大多數情況下不會屬於同一個應用分組來提供負載平衡服務。提供不同的服務意味著需要暴露的連接埠和拒絕的連接埠是不同的，建議不同的作業系統盡量歸屬於不同的安全性群組。

  例如，對於Linux作業系統，可能需要暴露TCP（22）連接埠來實現SSH，對Windows可能需要開通TCP（3389）遠端桌面連線。

  除了不同的作業系統歸屬不同的安全性群組，即便同一個鏡像類型，提供不同的服務，如果之間不需要通過內網進行訪問，建議也劃歸不同的安全性群組。這樣方便解耦，並對未來的安全性群組規則進行變更，做到職責單一。

  在規劃和新增應用時，除了考慮劃分不同的虛擬交換器配置子網外，同時也應該合理地規劃安全性群組。使用“網段+安全性群組”約束自己作為服務提供者和消費者的邊界。

• 生產環境和測試環境使用不同的安全性群組

  為了更好地進行系統的隔離，在實際開發過程中，您可能會構建多套的測試環境和一套線上環境。為了更合理地進行網路隔離，您需要對不同的環境配置使用不同的安全性原則，避免因為測試環境的變更重新整理到線上，從而影響線上的穩定性。

  通過建立不同的安全性群組，限制應用的訪問域，避免生產環境和測試環境連通。同時也可以對不同的測試環境分配不同的安全性群組，避免多套測試環境之間互相干擾，提升開發效率。

• 不需要公網訪問的資源不分配公網IP

  如果需要串連ECS執行個體，可以使用不需要公網IP的方式，如Workbench、會話管理工具，或者搭建跳板機，儘可能減少公網暴露。如果想要直接存取無公網或者私網環境中部署的服務，可以採用連接埠轉寄功能，請參見通過會話管理CLI的連接埠轉寄訪問無公網執行個體。

  在分布式應用中，大多數應用都有不同的分層和分組，對於不提供公網訪問的雲端服務器盡量不提供公網IP，如果有多台伺服器提供公網訪問，建議您配置公網流量分發的負載平衡服務來提供公網服務，提升系統的可用性，避免單點故障。詳情請參見。

  在專用網路架構下，當您的雲端服務器需要訪問公網的時候，優先建議您使用NAT Gateway，用於為VPC內無公網IP的ECS執行個體提供訪問互連網的代理服務，您只需要配置相應的SNAT規則即可為具體的CIDR網段或者子網提供公網訪問能力，避免因為只需要訪問公網的能力而在分配了公網IP（EIP）之後也向公網暴露了服務。具體配置，請參見建立和管理SNAT條目。

• 以白名單的方式使用安全性群組

  安全性群組應該作為白名單方式使用，安全性群組預設拒絕所有訪問，您可以添加允許規則來放通指定的連接埠範圍和授權對象。建議儘可能少地開放和暴露連接埠，以及分配公網IP。若想訪問線上機器進行任務日誌或錯誤排查時直接分配公網IP，掛載EIP雖然簡便，但是會將整個機器暴露在公網之上。

2、配置安全性群組規則

安全性群組是一種虛擬防火牆，用於控制ECS執行個體入站和出站流量。應該只允許必要的通訊連接埠開放，並儘可能限制源IP位址範圍。

• 普通安全性群組和企業級安全性群組預設策略有差異

  普通安全性群組和企業級安全性群組預設拒絕所有入方向訪問。普通安全性群組預設允許所有出方向訪問；企業級安全性群組預設拒絕所有出方向訪問。

• 不同安全性群組及不同型別安全組的內網互連性有差異

  即使是同一個賬戶下的ECS執行個體，如果分屬不同安全性群組，內網網路也是隔離的。普通安全性群組預設組內內網互連；企業級安全性群組預設組內內網隔離。

• 不同網路架構的安全性群組規則的管控對象有差異

  • 在VPC網路架構下，一條安全性群組規則可以同時適用於公網和內網存取控制。即通過配置一條規則，您可以限制或允許來自公網和內網的流量訪問。

  • 在傳統網路架構下，由於傳統網路中公網和內網使用相同的IP地址空間，為了控制公網和內網訪問，需要分別建立不同的安全性群組規則。

• 遵循最小授權原則添加安全性群組規則

  例如，開放Linux執行個體的22連接埠用於遠程登入時，建議僅允許特定的IP訪問。

  警告

  授權對象為0.0.0.0/0，表示允許所有IP訪問執行個體，意味著所有的連接埠都對外暴露了存取權限。這是非常不安全的。正確的做法是，先拒絕所有的連接埠對外開放。例如，如果您需要暴露Web服務，預設情況下可以只開放80、8080和443等常用TCP連接埠，其它的連接埠都應關閉。

  請您根據實際業務需求，按照最小範圍開放原則配置安全性群組規則，盡量避免全開（慎用::/0或者0.0.0.0/0）以免引發安全問題。關於安全性群組支援的授權物件類型，請參見安全性群組規則。

• 遵循最小許可權原則設定組內隔離

  在不需要普通安全性群組內ECS執行個體互相內網互連時，將普通安全性群組的組內連通原則設定為組內隔離。

• 盡量保持單個安全性群組內規則用途統一

  按照用途將規則維護在多個安全性群組中，並將執行個體關聯到這些安全性群組。單個安全性群組的規則數量過多，會增加管理複雜度。

• 謹慎選擇安全性群組規則的授權對象

  安全性群組規則的授權對象可以是IP地址、安全性群組或者CIDR網段。

  如果您想實現在不同安全性群組的資源之間的網路互連，您應使用安全性群組方式授權。例如，如果是分布式應用，您會區分不同的安全性群組，但是不同的安全性群組可能網路不通，此時，您不應該直接授權IP或者CIDR網段，而是直接授權另外一個安全性群組ID的所有資源都可以直接存取。例如，您的應用對Web、Database分別建立了不同的安全性群組：sg-web和sg-database。在sg-database中，您可以添加如下規則，授權所有的sg-web安全性群組的資源訪問MySQL（3306）連接埠。

  對於內網訪問，您應使用源安全性群組授權，而不是CIDR網段授權。

  對於傳統網路類型的ECS執行個體，阿里雲預設不開啟任何內網的入方向規則。為了安全考慮，不建議開啟任何基於CIDR網段的授權。

• 典型的應用通常使用預設的連接埠提供服務

  這些應用會通過伺服器的特定連接埠與外部進行通訊，詳情請參見常用連接埠。

3、持續最佳化調整

隨著業務的發展變化，原有的安全性群組和安全性群組規則也可能不再適用。因此，需要定期追溯現有的架構設計，並根據最新的安全態勢做出相應調整。建議您修改安全性群組時，複製一個安全性群組在測試環境調試，確保修改後執行個體流量正常，再對線上環境的安全性群組規則進行修改，避免誤修改線上環境使用的安全性群組引發業務中斷。

安全性群組應用案例

管控ECS執行個體的入站流量

即外部資源訪問ECS執行個體的流量，您可以通過設定安全性群組入方向規則，允許指定的使用者訪問部署在ECS執行個體上的業務。安全性群組入方向規則預設全部拒絕，您只需要配置允許的安全性群組規則即可。相關案例包含：

• 案例1：部署在ECS執行個體的網站業務提供Web服務

• 案例2：特定使用者需要遠端存取ECS執行個體

• 案例3：資料庫服務部署在ECS的安全性原則

• 案例4：只允許特定協議的業務訪問

• 案例5：不同安全性群組的執行個體實現內網互連

管控ECS執行個體的出站流量

即ECS執行個體訪問外部資源的流量，您可以設定安全性群組出方向規則，拒絕ECS執行個體訪問指定的外部資源。安全性群組出方向規則預設全部允許，您只需要配置拒絕的安全性群組規則即可。相關案例包含：

• 案例6：限制ECS執行個體訪問外部網站

案例1：部署在ECS執行個體的網站業務提供Web服務

案例2：特定使用者需要遠端存取ECS執行個體

案例3：資料庫服務部署在ECS的安全性原則

案例4：只允許特定協議的業務訪問

案例5：不同安全性群組的執行個體實現內網互連

• 情況一：

  安全性群組A和安全性群組B屬於同一帳號時，授權對象填寫安全性群組ID即可，安全性群組規則的配置樣本如下表所示。

  規則方向	授權策略	優先順序	協議類型	連接埠範圍	授權對象

  規則方向	授權策略	優先順序	協議類型	連接埠範圍	授權對象
  入方向	允許	1	自訂TCP	目的：21/21	源：sg-bp1hv6wvmegs036****

  說明

  請根據實際情況替換安全性群組ID。

• 情況二：

  安全性群組A和安全性群組B屬於不同帳號時，授權對象需要填寫阿里雲帳號ID和安全性群組ID，安全性群組規則的配置樣本如下表所示。

  規則方向	授權策略	優先順序	協議類型	連接埠範圍	授權對象

  規則方向	授權策略	優先順序	協議類型	連接埠範圍	授權對象
  入方向	允許	1	自訂TCP	目的：21/21	源：160998252992****/sg-bp174yoe2ib1sqj5****

  說明

  請根據實際情況替換阿里雲帳號ID和安全性群組ID。

案例6：限制ECS執行個體訪問外部網站