安全组

安全组是一种虚拟防火墙，用于控制安全组内ECS实例的入流量和出流量，从而提高ECS实例的安全性。安全组具备状态检测和数据包过滤能力，您可以基于安全组的特性和安全组规则的配置在云端划分安全域。

安全组规则

组成部分

在添加或修改一条安全组规则时，需要设置的属性如下表所示。

安全组规则过滤访问请求流程

如果一台实例加入了多个安全组，则所有安全组的安全组规则均应用于该实例。检测到访问请求时，系统会逐一尝试匹配安全组规则。如果基于协议、端口、授权对象匹配到了多条安全组规则，则继续通过优先级和授权策略来判定最终生效的安全组规则，最终结果为允许访问时才建立会话。

如果访问出现异常，您可以按需添加或修改安全组规则，新的安全组规则会自动应用于安全组内所有实例。

规则优先级

• 安全组内规则具有优先级。规则优先级通过规则在列表中的位置来表示，列表底端规则优先级最高，最先应用；列表顶端规则优先级最低。
• 若有规则冲突，则默认应用位置更前的规则。
• 当有流量入/出绑定某安全组的实例时，将从安全组规则列表顶端的规则开始逐条匹配至最后一条。如果匹配某一条规则成功（允许通过/拒绝通过），则不再匹配该规则之后的规则。

多个安全组

一个实例可以绑定一个或多个安全组，当实例绑定多个安全组时，多个安全组将按照从上到下依次匹配执行，您可以随时调整安全组的优先级。

安全组模板

新建安全组时，您可以选择靠谱云为您提供的两种安全组模板：

• 放通全部端口模板：将会放通所有出入站流量。
• 放通常用端口模板：将会放通 TCP 22端口（Linux SSH 登录），80、443端口（Web 服务），3389端口（Windows 远程登录）、 ICMP 协议（Ping）、放通内网。

安全组实践建议

• 将安全组作为白名单使用，即默认拒绝所有访问，通过添加安全组规则设置允许访问的端口范围和授权对象。
• 添加安全组规则时遵循最小授权原则。例如，开放Linux实例的22端口用于远程登录时，建议仅允许特定的IP访问，而非所有IP（0.0.0.0/0）。
• 单个安全组内尽量保持规则简洁。单台实例可以加入多个安全组，单个安全组可以添加多条安全组规则，如果应用在单台实例上的安全组规则过多，会增加管理复杂度并引入风险。
• 不同类型应用的实例加入不同的安全组，分别维护安全组规则。例如，需要接受公网访问的实例加入同一个安全组，默认拒绝所有访问，然后设置仅暴露对外提供服务的端口（例如80、443等）。同时避免在接受公网访问的实例上提供其他服务，例如MySQL、Redis等，建议将内部服务部署在不接受公网访问的实例上，并加入单独的安全组。
• 避免直接修改线上环境使用的安全组。修改安全组设置后会自动应用于组内所有实例，您可以先克隆一个安全组并在测试环境调试，确保修改后实例间通信正常。
• 合理定义安全组名称，方便快速识别安全组的用途，在管理较多安全组时更加清晰。

安全组规则示例

如果您需要使用SSH密钥对远程连接Linux实例，以在私有网络安全组中添加安全组规则为例，如下表所示。

在未添加安全组规则时，普通安全组允许出方向访问。如果您希望将安全组作为白名单使用，可以设置默认拒绝所有出方向访问。以在专有网络安全组中添加安全组规则为例，如下表所示。