Server Load Balancer：配置安全性群組實現NLB基於監聽/連接埠粒度的存取控制

情境說明

• 當NLB執行個體未加入安全性群組時，NLB監聽連接埠預設對所有請求放通。

• 當NLB執行個體加入安全性群組且未設定任何拒絕策略時，NLB監聽連接埠預設對所有請求放通。如果您需要只允許特定IP訪問NLB，請注意添加一條拒絕策略進行兜底。

使用限制

前提條件

• 您已建立Virtual Private Cloud1，具體操作，請參見建立和管理專用網路。

• 您已在VPC1中建立了2台ECS執行個體。ECS01和ECS02執行個體作為NLB執行個體的後端伺服器，且ECS01和ECS02執行個體中部署了應用服務。

  • 關於建立ECS執行個體，請參見自訂購買執行個體。

  • 本文ECS01和ECS02部署測試應用樣本如下：

    ECS01服務部署命令

    yum install -y nginx
    systemctl start nginx.service
    cd /usr/share/nginx/html/
    echo "Hello World ! This is ECS01." > index.html
    

    ECS02服務部署命令

    yum install -y nginx
    systemctl start nginx.service
    cd /usr/share/nginx/html/
    echo "Hello World ! This is ECS02." > index.html
    

• 您已註冊網域名稱並完成備案，且通過自有網域名稱為NLB配置CNAME解析。

步驟一：建立伺服器組

1. 登入網路型負載平衡NLB控制台。

2. 在頂部功能表列，選擇伺服器組所屬的地區。本文選擇華東1（杭州）。

3. 在左側導覽列，選擇網路型負載均衡 NLB > 伺服器組。

4. 在伺服器組頁面，單擊建立伺服器組。

5. 在建立伺服器組對話方塊中，完成以下配置，然後單擊建立。

   此處僅列出與本文強相關的配置項，其餘部分參數可保持預設值。更多資訊，請參見建立伺服器組。

   配置	說明
   伺服器群組類型	選擇一種伺服器群組類型。本文選擇伺服器類型。
   伺服器組名稱	輸入伺服器組名稱。本文輸入RS01。
   VPC	從VPC下拉式清單中選擇一個VPC。本文選擇已建立的VPC1。
   選擇後端協議	選擇一種後端協議。本文選擇TCP。
   選擇調度演算法	選擇一種調度演算法。本文選擇加權輪詢。

6. 在伺服器組建立成功對話方塊中單擊添加後端伺服器。

7. 在後端伺服器頁簽單擊添加後端伺服器。

8. 在添加後端伺服器面板，選擇已建立的ECS01和ECS02執行個體，然後單擊下一步。

9. 為已添加的伺服器設定連接埠和權重，然後單擊確定。

步驟二：建立NLB執行個體並配置監聽

1. 登入網路型負載平衡NLB控制台。

2. 在頂部功能表列，選擇NLB執行個體所屬的地區。本文選擇華東1（杭州）。

3. 在執行個體頁面，單擊建立網路型負載平衡。

4. 在網路型負載平衡（隨用隨付）購買頁面，完成以下配置。

   此處僅列出和本文強相關的配置項。其餘參數的配置，請參見建立執行個體。

   • 地區：本文選擇華東1（杭州）。

   • 執行個體網路類型：本文選擇私網。

   • VPC：本文選擇已建立的VPC1。

5. 單擊立即購買，然後根據控制台提示完成執行個體購買。

6. 返回執行個體頁面，找到已建立的NLB執行個體，單擊該NLB執行個體ID。

7. 單擊監聽頁簽，在監聽頁簽單擊快速建立監聽。在快速建立監聽對話方塊中，配置以下參數，完成TCP 80監聽的建立，然後單擊確定。

   監聽配置	說明
   選擇負載平衡協議	選擇監聽的協議類型。本文選擇TCP。
   監聽連接埠	輸入監聽連接埠，本文輸入80。
   轉寄的後端伺服器組	選擇伺服器類型及伺服器類型下的伺服器組。 本文選擇步驟一：建立伺服器組建立的伺服器組RS01。

8. 在監聽頁簽單擊快速建立監聽。在快速建立監聽對話方塊中，配置以下參數，完成TCP 81監聽的建立，然後單擊確定。

   監聽配置	說明
   選擇負載平衡協議	選擇監聽的協議類型。本文選擇TCP。
   監聽連接埠	輸入監聽連接埠，本文輸入81。
   轉寄的後端伺服器組	選擇伺服器類型及伺服器類型下的後端伺服器組。 本文選擇步驟一：建立伺服器組建立的伺服器組RS01。

9. NLB執行個體未加入安全性群組時，驗證訪問結果。

   1. 登入任意一台可以訪問公網的Linux用戶端。如果未安裝telnet，以CentOS系統為例可以參考執行yum install -y telnet安裝telnet。

   2. 執行telnet 網域名稱 80命令，測試用戶端是否可以訪問NLB執行個體TCP協議的80連接埠。

      收到如下所示的回複報文，則表示訪問成功。

      Trying *.*.*.*...
      Connected to www.example.com.
      Escape character is '^]'.

      通過瀏覽器輸入欄位名和連接埠號碼，例如http://網域名稱:80，可以看到類似下圖所示，表示NLB可以將請求轉寄至後端伺服器。

   3. 執行telnet 網域名稱 81命令，測試用戶端是否可以訪問NLB執行個體TCP協議的81連接埠。

      Trying *.*.*.*...
      Connected to www.example.com.
      Escape character is '^]'.

      通過瀏覽器輸入欄位名和連接埠號碼，例如http://網域名稱:81，可以看到類似下圖所示，表示NLB可以將請求轉寄至後端伺服器。

      

   4. 驗證結果顯示，NLB執行個體未加入安全性群組時，用戶端可正常訪問NLB執行個體TCP監聽的80連接埠和81連接埠

步驟三：建立安全性群組

在NLB執行個體加入安全性群組前，您需要先至ECS管理主控台建立安全性群組。

1. 登入ECS管理主控台。

2. 在左側導覽列，選擇網路與安全 > 安全性群組。

3. 在頂部功能表列，選擇安全性群組所屬的地區。本文選擇華東1（杭州）。

4. 在安全性群組頁面，單擊建立安全性群組。

5. 在建立安全性群組頁面，設定安全性群組的基本資料參數。

   此處僅列出和本文強相關的配置項，其餘參數的配置請參見建立安全性群組。

   • 網路：本文選擇已建立的Virtual Private Cloud1。

   • 安全性群組類型：本文選擇普通安全性群組。

6. 在建立安全性群組安全性群組頁面，設定安全性群組的訪問規則參數。

   1. 在入方向單擊手動添加。

   2. 配置新增的安全性群組規則。

      名稱	描述
      授權策略	選擇拒絕。
      優先順序	優先順序保持預設值1。
      協議類型	協議類型選擇自訂TCP。
      連接埠範圍	輸入連接埠號碼81。
      授權對象	選擇0.0.0.0/0。
      描述	輸入安全性群組規則描述資訊。

7. 單擊建立安全性群組。

步驟四：NLB執行個體加入安全性群組並驗證結果

NLB執行個體加入步驟三：建立安全性群組建立的安全性群組，並驗證安全性群組規則對NLB執行個體的存取控制是否生效。

1. 登入網路型負載平衡NLB控制台。

2. 在頂部功能表列，選擇NLB執行個體所屬的地區。本文選擇華東1（杭州）。

3. 在NLB執行個體頁面，找到步驟二：建立NLB執行個體並配置監聽建立的NLB執行個體，單擊執行個體ID。在執行個體詳情頁簽，單擊安全性群組頁簽。

4. 在安全性群組頁簽，單擊添加安全性群組，在彈出的NLB執行個體加入安全性群組對話方塊中，選擇步驟三：建立安全性群組建立的安全性群組，然後單擊確定。

5. 在左側列表框單擊目標安全性群組ID，可單擊入方向或出方向頁簽分別查看安全性群組規則。

   此處僅列出與本文強相關的安全性群組入方向規則。此時NLB執行個體加入的安全性群組規則如下：

   授權策略	優先順序	協議類型	連接埠範圍	授權對象
   允許	1	自訂TCP	目的：80/80	源：0.0.0.0/0
   拒絕	1	自訂TCP	目的：81/81	源：0.0.0.0/0

6. NLB執行個體加入安全性群組後，測試訪問結果。

   1. 登入任意一台可以訪問公網的Linux用戶端。

   2. 執行telnet 網域名稱 80命令，測試用戶端是否可以訪問NLB執行個體TCP監聽的80連接埠。

      收到如下所示的回複報文，則表示訪問成功。

      Trying *.*.*.*...
      Connected to www.example.com.
      Escape character is '^]'.

      通過瀏覽器輸入欄位名和連接埠號碼，例如http://網域名稱:80，可以看到類似下圖所示，表示NLB可以將請求轉寄至後端伺服器。

      

   3. 執行telnet 網域名稱 81命令，測試用戶端是否能訪問NLB執行個體TCP協議的81連接埠。

      收到如下所示的回複報文，則表示用戶端無法訪問NLB執行個體TCP監聽的81連接埠，NLB執行個體加入的安全性群組對NLB執行個體的存取控制已生效。

      Trying *.*.*.*...
      telnet: connect to address *.*.*.*: Connection timed out
      Trying *.*.*.*...
      telnet: connect to address *.*.*.*: Connection timed out

      通過瀏覽器輸入欄位名和連接埠號碼，例如http://網域名稱:81，可以看到無法訪問網頁，則表示用戶端無法訪問NLB執行個體TCP監聽的81連接埠，NLB執行個體加入的安全性群組對NLB執行個體的存取控制已生效。

步驟五：修改安全性群組並驗證結果

修改安全性群組規則，並驗證修改後的安全性群組規則對NLB執行個體的存取控制是否生效。

1. 返回NLB執行個體頁面，找到步驟二：建立NLB執行個體並配置監聽建立的NLB執行個體，單擊執行個體ID。在執行個體詳情頁簽，單擊安全性群組頁簽。

2. 在基本資料地區單擊安全性群組ID，或在安全性群組頁簽右上方單擊前往ECS控制台編輯，進入安全性群組規則頁面修改安全性群組規則。

3. 在安全性群組規則頁面，找到允許訪問TCP協議80連接埠的規則，在操作列單擊編輯，修改授權策略為拒絕。

   此處僅列出與本文強相關的安全性群組規則。修改後的安全性群組規則如下：

   授權策略	優先順序	協議類型	連接埠範圍	授權對象
   拒絕	1	自訂TCP	目的：80/80	源：0.0.0.0/0
   拒絕	1	自訂TCP	目的：81/81	源：0.0.0.0/0

4. 修改NLB執行個體加入的安全性群組規則後，測試訪問結果。

   1. 登入任意一台可以訪問公網的Linux用戶端。

   2. 執行telnet 網域名稱 80命令，測試用戶端是否能訪問NLB執行個體TCP協議的80連接埠。

      收到如下所示的回複報文，則表示用戶端無法訪問NLB執行個體TCP監聽的80連接埠，修改後的安全性群組規則對NLB執行個體的存取控制已生效。

      Trying *.*.*.*...
      telnet: connect to address *.*.*.*: Connection timed out
      Trying *.*.*.*...
      telnet: connect to address *.*.*.*: Connection timed out

      通過瀏覽器輸入欄位名和連接埠號碼，例如http://網域名稱:80，可以看到無法訪問網頁，則表示用戶端無法訪問NLB執行個體TCP監聽的80連接埠，NLB執行個體加入的安全性群組對NLB執行個體的存取控制已生效。

   3. 執行telnet 網域名稱 81命令，測試用戶端是否能訪問NLB執行個體TCP協議的81連接埠。

      收到如下所示的回複報文，則表示用戶端無法訪問NLB執行個體TCP監聽的81連接埠，修改後的安全性群組規則對NLB執行個體的存取控制已生效。

      Trying *.*.*.*...
      telnet: connect to address *.*.*.*: Connection timed out
      Trying *.*.*.*...
      telnet: connect to address *.*.*.*: Connection timed out

      通過瀏覽器輸入欄位名和連接埠號碼，例如http://網域名稱:81，可以看到無法訪問網頁，則表示用戶端無法訪問NLB執行個體TCP監聽的81連接埠，NLB執行個體加入的安全性群組對NLB執行個體的存取控制已生效。

相關文檔

• 關於NLB加入安全性群組和解除綁定安全性群組等操作，請參見NLB加入安全性群組。

• 如果您需要拒絕或允許特定IP訪問NLB執行個體，請參見配置NLB安全性群組實現黑白名單存取原則。

• 關於安全性群組的詳細介紹，請參見安全性群組。

• LoadBalancerJoinSecurityGroup：為網路型Server Load Balancer執行個體綁定已建立的安全性群組。

• LoadBalancerLeaveSecurityGroup：為網路型Server Load Balancer執行個體解除綁定安全性群組。