六大案例及应用场景，解读阿里云服务器安全组高级设置

这篇文章属于安全组应用中的高级应用，总结了阿里云服务器，安全组高级应用中的6个实操案例，请各位亲参考使用。

安全组是一种虚拟防火墙，具备状态检测和数据包过滤功能。安全组用于设置单台或多台实例的网络访问控制，它是重要的网络安全隔离手段，用于在云端划分安全域。安全组是由同一个地域（Region）内具有相同安全保护需求并相互信任的实例组成。在创建实例的时候需要指定安全组，每个实例至少属于一个安全组。同一安全组内的实例之间默认私网网络互通，不同安全组的实例之间默认私网不通。可以授权两个安全组之间互访。

案例 1：实现内网互通

使用安全组实现相同地域不同账号下或不同安全组内ECS实例间的内网互通。有两种情况：

• 场景 1：实例属于同一个地域、同一个账号
• 场景 2：实例属于同一个地域、不同账号

场景 1：同一地域、同一账号

同一地域、同一账号的2个实例，如果在同一个安全组内，默认内网互通，不需要设置。如果在不同的安全组内，默认内网不通，此时，根据网络类型做不同的设置：

• VPC

  处于同一个VPC内的ECS实例，在实例所在安全组中分别添加一条安全组规则，授权另一个安全组内的实例访问本安全组内的实例，实现内网互通。安全组规则如下表所示。

• 经典网络

  在实例所在安全组中分别添加一条安全组规则，授权另一个安全组内的实例访问本安全组内的实例，实现内网互通。安全组规则如下表所示。

场景 2：同一地域、不同账号

这部分的描述仅适用于经典网络类型的ECS实例。

同一个地域内、不同账号下，经典网络实例可以通过安全组授权实现内网互通。比如：

• UserA在华东1有一台经典网络的ECS实例InstanceA（内网IP：A.A.A.A），InstanceA所属的安全组为GroupA。
• UserB在华东1有一台经典网络的ECS实例InstanceB（内网IP：B.B.B.B），InstanceB所属的安全组为GroupB。
• 在GroupA中添加安全组规则，授权InstanceB内网访问InstanceA，如下表所示。

• 在GroupB中添加安全组规则，授权InstanceA内网访问InstanceB，如下表所示。

案例 2：只允许特定IP地址远程登录到实例

如果您只想让某些特定IP地址远程登录到实例，可以参考以下示例的步骤在实例所在安全组里添加规则（以Linux实例为例，设置只让特定IP地址访问TCP 22端口）：

案例 3：只允许实例访问外部特定IP地址

如果您只想让实例访问特定的IP地址，参考以下示例的步骤在实例所在安全组中添加安全组规则：

1. 禁止实例以任何协议访问所有公网IP地址，优先级应低于允许访问的规则（如本例中设置优先级为2）。安全组规则如下表所示。

1. 允许实例访问特定公网IP地址，优先级应高于拒绝访问的安全组规则的优先级（如本例中设置为1）。

添加了安全组规则后，在连接实例，执行 ping、telnet 等测试。如果实例只能访问允许访问的IP地址，说明安全组规则已经生效。

案例 4：允许远程连接实例

允许远程连接ECS实例分为两种情况：

• 场景 1：允许公网远程连接指定实例
• 场景 2：允许内网其他账号下的某台ECS实例或所有ECS实例远程连接指定实例

场景 1：允许公网远程连接实例

如果要允许公网远程连接实例，参考以下示例添加安全组规则。

• VPC：添加如下所示安全组规则。

• 经典网络：添加如下表所示安全组规则。

自定义远程连接端口的详细操作请参见 : ①windows服务器默认远程端口修改。②Linux服务器远程端口修改。

场景 2：允许内网其他账号下某个安全组内的ECS实例远程连接您的实例

如果您的账号与同地域其他账号内网互通，而且您想允许内网其他账号下某个安全组内的ECS实例远程连接实例，按以下示例添加安全组规则。

• 允许内网其他账号某个实例内网IP地址连接您的实例
  • VPC：先保证2个账号的实例 通过高速通道内网互通，再添加如下表所示的安全组规则。

• • 经典网络：应添加如下表所示的安全组规则。

• 允许内网其他账号某个安全组里的所有ECS实例连接您的实例
  • VPC类型的实例，先保证2个账号的实例 通过高速通道内网互通，再添加如下表所示的安全组规则。

• • 经典网络实例，添加如下表所示的安全组规则。

案例 5：允许公网通过HTTP、HTTPS等服务访问实例

如果您在实例上架设了一个网站，希望您的用户能通过HTTP或HTTPS服务访问到您的网站，您需要在实例所在安全组中添加以下安全组规则。

• 允许公网上所有IP地址访问您的网站。
  • VPC：添加如下表所示的安全组规则。

• • 经典网络：添加如下表所示的安全组规则。

• 允许公网上部分IP地址访问您的网站。
  • VPC：添加如下表所示的安全组规则。

• • 经典网络：添加如下表所示的安全组规则。