简介

安全组用于控制云服务器各网卡的出入流量，其基于白名单原理设计。用户可根据自身需求添加安全组规则，为网卡放通所需流量。

例如，当某云服务器通过80端口对外提供服务时，其网卡关联的安全组必须添加放通80端口入方向流量的规则，从而确保外部能够正常访问该云服务器的相关服务。

分类

根据安全组的创建方式进行分类，如下表：

安全组规则

• 安全组有状态，返回数据（TCP连接的老化时间为900s、ICMP连接的老化时间为30s）自动放通。即网卡主动访问时，仅出方向规则允许即可；网卡被访问时，仅入方向规则允许即可。
• 变更安全组规则将立即生效，已建立的长连接和后续新建的连接均受规则控制。
• 源地址为自身安全组（如default）的规则，表示网卡允许被本安全组内其他网卡访问，若删除，则将导致安全组内的网卡无法私网互通。

组成

为安全组添加规则放通流量，安全组规则的参数说明如下：

示例：允许12.156.XX.XX/28范围内的资源通过80端口，以TCP协议访问安全组内的网卡。

匹配说明

网卡关联一个或多个安全组：

• 若所有安全组内均无规则，则拒绝网卡所有出入方向流量。

• 若存在安全组内有规则，则网卡流量匹配过程如下（以网卡入方向流量为例，出方向流量同理）：

  1. 优先级排序：汇总所有安全组的入方向规则，并按照优先级由高到低排序。

     说明

     • 优先级数值越小则优先级越高。
     • 两条入方向规则优先级相同时，拒绝策略优先于允许策略。
  2. 匹配：流量从上到下依次匹配入方向规则，若成功匹配，则根据规则的策略，允许或拒绝流量通行，并结束匹配操作；若所有规则均未成功，则拒绝该流量通行。

使用限制

更多关于安全组的使用限制，请参见 约束限制。

使用流程

1. 创建安全组
2. 关联网卡
3. 添加安全组规则

更多操作可参考安全组用户指南。

实践建议

• 安全组规划请参考 如何规划安全组。
• 应用示例请参见 安全组应用示例 。
• 安全组放通IP地址和端口后，请确认云服务器实例的防火墙是否放通，若防火墙未放通，则流量依然会被拒绝。详情请参考如何配置Linux实例防火墙、如何配置Windows云服务器防火墙？
• 建议谨慎放通SSH（22）、Redis（6379）、MemCache（11211）、MySQL（3306）、SMB（445）、RDP（3389）、SQLServer（1433）等业务常用端口。更多云服务器常用端口请参见 云服务器常用端口 。