云服务器 ECS：安全组应用案例

在查阅安全组应用案例之前，您需要注意以下几点信息：

• 安全组默认拒绝所有入方向访问。

• 普通安全组默认允许所有出方向访问。

• 不同安全组之间的实例默认内网隔离。

• 在网络类型为专有网络的安全组中，一条安全组规则可以同时适用于公网和内网访问控制。即通过配置一条规则，您可以限制或允许来自公网和内网的流量访问。

• 在网络类型为经典网络的安全组中，由于经典网络中公网和内网使用相同的IP地址空间，为了控制公网和内网访问，需要分别创建不同的安全组规则。

• 典型的应用通常使用默认的端口来提供服务。这些应用会通过服务器的特定端口与外部进行通信。更多信息，请参见常用端口。

对于开放公网访问的网站服务器，可以设置安全组规则，只允许来自任何源的TCP端口80（HTTP）和443（HTTPS）的入站流量，确保网站可以被外部访问，但限制了对服务器上其他服务的直接访问。

安全组规则的配置示例如下表所示：

为了远程连接ECS实例，通常需要开放TCP端口22（SSH）或自定义的SSH端口。您可以通过设置安全组规则，将允许访问实际远程端口的授权对象限定为特定用户（如管理员）或特定服务器的IP，以减少被恶意攻击的风险。

安全组规则的配置示例如下表所示：

使用阿里云Workbench远程连接实例时，只需允许特定的授权对象即可，安全组入方向规则示例如下表所示。

在同一个专有网络中，如果需要在实例之间进行数据共享等操作，例如安全组A的实例需要通过FTP访问安全组B的实例中的共享文件，您可以通过授权安全组的方式实现内网互通。相比于授权单个IP地址或CIDR地址块，授权安全组能够更加便捷地实现多个实例之间的访问。您可以轻松地允许一组实例访问另一组实例，而无需逐个配置每个实例的访问权限。

数据库服务通常需要更严格的安全策略。您可以通过配置安全组，仅允许来自特定IP地址或安全组（例如应用服务器所在的安全组）的对应端口的入站连接，确保数据库访问的私密性和安全性。

以下是一些常见数据库在默认端口下的安全组规则配置：

根据业务需求，可能需要限制特定的网络协议，例如只允许TCP或UDP的某些端口通信。ICMP协议主要用于在IP主机、路由器之间传递控制消息。在进行一些测试操作之前，需要允许基于ICMP协议的访问。例如，在客户端执行ping命令来测试网络连通性时，就需要允许ICMP协议的访问。安全组规则的配置示例如下表所示：

如果您需要限制实例只能访问指定网站，可以将安全组作为白名单使用，设置默认拒绝所有出方向访问，然后仅允许访问指定网站的IP。

安全组规则的配置示例如下表所示：

以上规则表示：允许安全组内实例访问47.96.XX.XX上80端口的HTTP服务和访问121.199.XX.XX上443端口的HTTPS服务，除此之外其他出方向的访问均不允许。