全部产品
Search

搜索本产品

    负载均衡：ALB配置安全组实现基于监听/端口粒度的访问控制

    文档中心

    负载均衡：ALB配置安全组实现基于监听/端口粒度的访问控制

    更新时间：Aug 08, 2024

    为了提高云上流量入口安全性，如果您需要对ALB进行基于协议/端口/IP的访问控制，可以通过为ALB实例配置安全组来实现。相较于ACL，ALB通过安全组能实现更全面的访问控制，不仅能配置基于协议/端口的访问控制，而且支持IPv6地址类型的访问控制策略。

    场景说明

    • ALB实例未加入安全组时，ALB监听端口默认对所有请求放行。

    • 当ALB实例加入安全组且未设置任何拒绝策略时，ALB监听端口默认对所有请求放通。如果您需要只允许特定IP访问ALB，请注意添加一条拒绝策略进行兜底。

    当您的ALB实例有访问控制的诉求，希望控制ALB实例的入流量时，您可以选择为ALB实例添加安全组，同时可基于业务设置相应的安全组规则。

    重要

    负载均衡的出方向流量为用户请求的回包。为了保证您的业务正常运行，ALB的安全组对出流量不做限制，您无需额外配置安全组出方向规则。

    当您希望ALB实例中某些端口的监听被禁止访问，其他端口的监听可以正常访问时，您可以使用安全组功能实现对端口的严格访问控制。本文从以下三种场景来说明ALB实例加入安全组对端口的访问控制，以ALB实例配置HTTP 80监听和HTTP 81监听为例说明。

    场景

    安全组规则

    预期效果

    相关链接

    ALB实例未加入安全组

    ALB监听端口默认对所有请求放行

    • 允许客户端访问ALB实例的HTTP 80端口

    • 允许客户端访问ALB实例的HTTP 81端口

    步骤五：ALB未加入安全组并验证结果

    ALB实例加入安全组

    拒绝访问HTTP协议的81端口

    说明

    此处仅列出与本文强相关的安全组规则，其余默认规则未列出。

    • 允许客户端访问ALB实例的HTTP 80端口

    • 拒绝客户端访问ALB实例的HTTP 81端口

    步骤六：ALB实例加入安全组并验证结果

    修改ALB实例加入的安全组

    • 拒绝访问HTTP协议的80端口

    • 拒绝访问HTTP协议的81端口

    说明

    此处仅列出与本文强相关的安全组规则，其余默认规则未列出。

    • 拒绝客户端访问ALB实例的HTTP 80端口

    • 拒绝客户端访问ALB实例的HTTP 81端口

    步骤七：修改安全组并验证结果

    使用限制

    • 安全组功能默认不开放，如需使用，请向商务经理申请。

      • 分类

      安全组类型

      说明

      ALB支持加入的安全组

      • 普通安全组

      • 企业级安全组

      • 要求安全组为专有网络类型，且安全组和ALB实例属于同一个专有网络VPC（Virtual Private Cloud）。

      • 一个ALB实例最多支持加入4个安全组，且同一个ALB实例加入的安全组类型需保持一致，即不支持同时加入普通安全组和企业级安全组。

        某个ALB实例已加入普通安全组，如果需要加入企业级安全组，可解绑当前ALB实例的所有普通安全组后再行操作，反之亦然。

      关于普通安全组和企业安全组的介绍，请参见普通安全组与企业级安全组。

      ALB不支持加入的安全组

      托管安全组

      关于托管安全组的介绍，请参见托管安全组。

    前提条件

    • 您已创建了专有网络VPC1。具体操作，请参见创建和管理专有网络。

    • 您已在VPC1中创建ECS01和ECS02实例，ECS01和ECS02实例作为ALB实例的后端服务器，且ECS01和ECS02实例中部署了2个不同的应用服务。

      • 关于如何创建ECS实例，请参见自定义购买实例。

      • 本文ECS01和ECS02部署测试应用服务示例如下：

        ECS01服务部署命令

        yum install -y nginx
systemctl start nginx.service
cd /usr/share/nginx/html/
echo "Hello World ! This is ECS01." > index.html

        ECS02服务部署命令

        yum install -y nginx
systemctl start nginx.service
cd /usr/share/nginx/html/
echo "Hello World ! This is ECS02." > index.html

    配置流程

    image

    操作步骤

    步骤一：创建服务器组

    1. 登录应用型负载均衡ALB控制台。

    2. 在顶部菜单栏，选择服务器组所属的地域。本文选择华东1（杭州）。

    3. 在左侧导航栏，选择应用型负载均衡ALB > 服务器组。

    4. 在服务器组页面，单击创建服务器组。

    5. 在创建服务器组对话框中，完成以下配置，然后单击创建。

      此处仅列出与本文强相关的配置项，其余部分参数可保持默认值。更多信息，请参见创建和管理服务器组。

      配置

      说明

      服务器组类型

      选择一种服务器组类型。本文选择服务器类型。

      服务器组名称

      输入服务器组名称。

      VPC

      从VPC下拉列表中选择一个VPC。本文选择已创建的VPC1。

      选择后端协议

      选择一种后端协议。本文选择HTTP。

      选择调度算法

      选择一种调度算法。本文选择加权轮询。

    6. 在服务器组创建成功对话框中单击添加后端服务器。

    7. 在后端服务器页签单击添加后端服务器。

    8. 在添加后端服务器面板，选择已创建的ECS01和ECS02实例，然后单击下一步。

    9. 为已添加的服务器设置端口和权重，然后单击确定。

    步骤二：创建ALB实例并配置监听

    1. 登录应用型负载均衡ALB控制台。

    2. 在实例页面，单击创建应用型负载均衡。

    3. 在购买页面，完成以下配置。

      此处仅列出和本文强相关的配置项，其他未列出的配置项使用默认值。关于参数的更多信息，请参见创建应用型负载均衡。

      • 地域：本文选择华东1（杭州）。

      • 实例网络类型：本文选择公网。

      • VPC：本文选择已创建的VPC1。

    4. 单击立即购买，然后根据控制台提示完成实例开通。

    5. 返回实例页面，找到已创建的ALB实例，单击该ALB实例ID。

    6. 单击监听页签，然后单击快速创建监听。

    7. 在快速创建监听对话框中，配置以下参数，完成HTTP 80监听的创建，然后单击确定。

      配置

      说明

      选择监听协议

      选择监听的协议类型。本文选择HTTP。

      监听端口

      输入监听端口。本文输入80。

      转发的后端服务器组

      选择服务器类型及服务器类型下的服务器组。本文选择已创建好的服务器组。

    8. 在监听页签，单击快速创建监听。

    9. 在快速创建监听对话框中，配置以下参数，完成HTTP 81监听的创建，然后单击确定。

      配置

      说明

      选择监听协议

      选择监听的协议类型。本文选择HTTP。

      监听端口

      输入监听端口。本文输入81。

      转发的后端服务器组

      选择服务器类型及服务器类型下的服务器组。本文选择已创建好的服务器组。

    步骤三：设置域名解析

    复制ALB实例对应的DNS名称，完成以下步骤，为您的自有域名添加1条指向ALB实例DNS名称的CNAME记录。

    1. 登录域名解析控制台。

    2. 在域名解析页面单击添加域名。

    3. 在添加域名对话框输入您的主机域名，然后单击确认。

      重要

      您的主机域名需已完成TXT记录验证。

    4. 在目标域名的操作列单击解析设置。

    5. 在解析设置页面，单击添加记录。

    6. 在添加记录面板，配置以下信息完成CNAME解析配置，然后单击确认。

      配置

      说明

      记录类型

      在下拉列表中选择CNAME。

      主机记录

      您的域名的前缀。

      解析请求来源

      选择默认。

      记录值

      输入域名对应的CNAME地址，即您复制的ALB实例的DNS名称。

      TTL

      全称Time To Live，表示DNS记录在DNS服务器上的缓存时间，本文使用默认值。

    步骤四：创建安全组

    在ALB实例加入安全组前，您需要先至ECS管理控制台创建安全组。

    1. 登录ECS管理控制台。

    2. 在左侧导航栏，选择网络与安全 > 安全组。

    3. 在顶部菜单栏，选择安全组所属的地域。本文选择华东1（杭州）。

    4. 在安全组页面，单击创建安全组。

    5. 在创建安全组页面，设置安全组的基本信息参数。

      此处仅列出和本文强相关的配置项，其余参数的配置请参见创建安全组。

      • 网络：本文选择已创建的专有网络VPC。

      • 安全组类型：本文选择普通安全组。

    6. 在默认的安全组规则上，配置新增的安全组的访问规则参数。

      1. 在入方向单击手动添加。

      2. 配置新增的安全组规则，按照以下规则分别进行添加。然后单击创建安全组。

        名称

        描述

        授权策略

        选择拒绝。

        优先级

        优先级保持默认值1。

        协议类型

        协议类型选择自定义TCP。

        说明

        在设置QUIC监听的安全组规则时，协议类型选择自定义UDP。

        端口范围

        输入端口号81。

        授权对象

        选择所有IPv4(0.0.0.0/0)和所有IPv6(::/0)。

        描述

        输入安全组规则描述信息。

    步骤五：ALB未加入安全组并验证结果

    测试客户端与ECS实例ECS01和ECS02之间的连通性。本文以任意一台可以访问公网的客户端为例。

    1. 在浏览器输入访问地址和端口号，例如http://访问地址:80，可以看到如下图所示，表示ALB可以访问HTTP协议的80端口。

      image

    2. 在浏览器输入访问地址和端口号，例如http://访问地址:81，可以看到如下图所示，表示ALB可以访问HTTP协议的81端口。

      image

    步骤六：ALB实例加入安全组并验证结果

    ALB实例加入安全组，并验证安全组规则是否对ALB实例的端口的访问控制生效。

    1. 登录应用型负载均衡ALB控制台。

    2. 在ALB实例页面，找到目标ALB实例，单击实例ID，在实例详情页签，单击安全组页签。

    3. 在安全组页签，单击添加安全组，在弹出的ALB实例加入安全组对话框中，选择步骤四：创建安全组创建的安全组，然后单击确定。

    4. 在左侧列表框单击目标安全组ID，可单击入方向或出方向页签分别查看安全组规则。

      此处仅列出与本文强相关的安全组入方向规则。此时ALB实例的安全组规则如下：

      授权策略

      优先级

      协议类型

      端口范围

      授权对象

      允许

      1

      自定义TCP

      目的：80/80

      源：所有IPv4(0.0.0.0/0)

      允许

      1

      自定义TCP

      目的：80/80

      源：所有IPv6(::/0)

      拒绝

      1

      自定义TCP

      目的：81/81

      源：所有IPv4(0.0.0.0/0)

      拒绝

      1

      自定义TCP

      目的：81/81

      源：所有IPv6(::/0)

    5. 修改ALB实例加入的安全组规则后，测试访问结果。

      1. 在浏览器输入访问地址和端口号，例如http://访问地址:80，可以看到类似下图所示，表示ALB实例可以访问HTTP协议的80端口。

        image

      2. 在浏览器输入访问地址和端口号，例如http://访问地址:81，如果无法访问应用服务，可以打开命令行窗口，执行curl http://访问地址:81，如果出现如下图所示结果，则表示客户端无法访问ALB实例的HTTP监听的81端口，这表明ALB实例的安全组对81端口的访问控制已生效。

        image

    步骤七：修改安全组并验证结果

    修改安全组规则，并验证修改后的安全组规则是否对ALB实例的端口访问控制生效。

    1. 返回ALB实例页面，找到目标ALB实例，单击实例ID。在实例详情页签，单击安全组页签。

    2. 在基本信息区域单击安全组ID，或在安全组页签右上角单击前往ECS控制台编辑，进入安全组规则页面修改安全组规则。

    3. 在安全组规则页面，找到允许访问TCP协议80端口的规则，在操作列单击编辑，修改授权策略为拒绝，单击保存。

      此处仅列出与本文强相关的安全组规则。修改后的安全组规则如下：

      授权策略

      优先级

      协议类型

      端口范围

      授权对象

      拒绝

      1

      自定义TCP

      目的：80/80

      源：所有IPv4(0.0.0.0/0)

      拒绝

      1

      自定义TCP

      目的：80/80

      源：所有IPv6(::/0)

      拒绝

      1

      自定义TCP

      目的：81/81

      源：所有IPv4(0.0.0.0/0)

      拒绝

      1

      自定义TCP

      目的：81/81

      源：所有IPv6(::/0)

    4. 修改ALB实例加入的安全组规则后，测试访问结果。

      1. 打开命令行窗口，执行curl http://访问地址:80，如果出现如下图所示，则表示客户端无法访问ALB实例HTTP监听的80端口，这表明ALB实例的安全组对80端口访问控制已生效。

        image

      2. 打开命令行窗口，执行curl http://访问地址:81，如果出现如下图所示，则表示客户端无法访问ALB实例HTTP监听的81端口，这表明ALB实例的安全组对81端口访问控制已生效。

        image

    相关文档