腾讯云云服务器安全组
什么是安全组?
安全组是一种虚拟防火墙,云服务器端口开放或禁用就是通过配置安全组规则来实现的,安全组还可以控制云服务器、负载均衡、云数据库等实例之间的网络访问
腾讯云安全组
腾讯云安全组是一种虚拟防火墙,安全组具备有状态的数据包过滤功能。用户经常使用安全组的操作就是开放端口,出于安全考虑,腾讯云服务器默认只开放了22和3389端口,假设在这台云服务器上搭建网站,则需要80端口,就是通过配置安全组规则放行80端口来实现的。
还可以使用安全组来控制云服务器、负载均衡、云数据库等实例之间的网络访问,控制实例级别的出入流量,是重要的网络安全隔离手段。
安全组特性
1.安全组是一个逻辑上的分组,用户可以将同一地域内具有相同网络安全隔离需求的云服务器、弹性网卡、云数据库等实例加到同一个安全组内;
2.关联了同一安全组的实例间默认不会互通,您需要添加相应的允许规则;
3.安全组是有状态的,对于用户已允许的入站流量,都将自动允许其流出,反之亦然;
4.用户可以随时修改安全组的规则,新规则立即生效,无需重启。
组成部分
安全组规则包括如下组成部分:
- 来源或目标:流量的源(入站规则) 或目标(出站规则),可以是单个 IP 地址、IP 地址段,也可以是安全组.
- 协议类型和协议端口:协议类型如 TCP、UDP 等。
- 策略:允许或拒绝
规则优先级
- 安全组内规则具有优先级。规则优先级通过规则在列表中的位置来表示,优先级最高,最先应用;列表底端规则优先级最低。
- 若有规则冲突,则默认应用最优的规则。
- 当有流量入/出绑定某安全组的实例时,将从安全组规则列表顶端的规则开始逐条匹配一直到最后一条。如果某一条规则匹配成功,则允许通过,不再匹配该规则之后的所有规则。没有匹配的话,则一直匹配直到所有规则匹配完
多个安全组
一个实例可以绑定一个或多个安全组,当实例绑定多个安全组时,多个安全组将按照从上到下依次匹配执行,可以随时调整安全组的优先级。
配置安全组
设置安全组
新建安全组提供以下规则:
- ICMP:放通 ICMP 协议,允许公网 Ping 服务器。
- TCP:80:放通80端口,允许通过 HTTP 访问 Web 服务。
- TCP:22:放通22端口,允许 SSH 远程连接 Linux 云服务器。
- TCP:443:放通443端口,允许通过 HTTPS 访问 Web 服务。
- TCP:3389:放通3389端口,允许 RDP 远程连接 Windows 云服务器。
- 放通内网:放通内网,允许不同云资源间内网互通(IPv4)。
- 安全组区分地域,一台云服务器只能与相同地域中的安全组进行绑定。
- 安全组适用于任何处在 网络环境的云服务器实例。
- 每个用户在每个地域每个项目下最多可设置50个安全组。
- 一个安全组入站方向或出站方向的访问策略,各最多可设定100条。
- 一个云服务器可以加入多个安全组,一个安全组可同时关联多个云服务器。
- 基础网络内云服务器绑定的安全组无法过滤来自(或去往)腾讯云上的关系型数据库(MySQL、MariaDB、SQL Server、PostgreSQL)、NoSQL 数据库(Redis、Memcached)的数据包。如果您需要过滤这类实例的流量,您可以使用 iptables 或者购买云防火墙产品实现。
- 相关配额限制如下表所示:
功能描述 限制 安全组个数 50个/地域 安全组规则数 100条/入站方向,100条/出站方向 单个安全组关联的云服务器实例数 2000个 每个云服务器实例可以关联的安全组个数 5个 每个安全组可以引用的安全组 ID 的个数 10个 -
操作场景
安全组是云服务器实例的虚拟防火墙,每台云服务器实例必须至少属于一个安全组。在您创建云服务器实例时,如果您还未创建过安全组,腾讯云提供了两个模板,一个是放通全部端口模板,另一个是放通常用端口模板,新建安全组默认规则放通常用IP/端口:
ICMP 公网 Ping 云服务器
TCP:22 SSH 远程连接 Linux 实例
TCP:3389 RDP 远程连接 Windows 实例
TCP:80 云服务器作 Web 服务器(HTTP)
TCP:443 云服务器作 Web 服务器(HTTPS)
放通内网 不同云资源间内网互通(IPv4)
操作步骤
- 登录 云服务器控制台。
- 在左侧导航栏,单击 安全组,进入安全组管理页面。
- 在安全组管理页面,选择地域,单击新建。
- 在弹出的“新建安全组”窗口中,完成以下配置。如下图所示:
-
- 模板:根据安全组中的云服务器实例需要部署的服务,选择合适的模板,简化安全组规则配置。如下表所示:
模板 说明 场景 放通全部端口 默认放通全部端口到公网和内网,具有一定安全风险。 – 放通22,80,443,3389端口和ICMP协议 默认放通22,80,443,3389端口和 ICMP 协议,内网全放通。 安全组中的实例需要部署 Web 服务。 自定义 安全组创建成功后,按需自行添加安全组规则。具体操作请参见 添加安全组规则。 – - 名称:自定义设置安全组名称。
- 所属项目:默认选择“默认项目”,可指定为其他项目,便于后期管理。
- 备注:自定义,简短地描述安全组,便于后期管理。
- 高级选项:可在高级选项中为安全组配置标签,默认无标签。
- 模板:根据安全组中的云服务器实例需要部署的服务,选择合适的模板,简化安全组规则配置。如下表所示:
- 单击确定,完成安全组的创建。
如果新建安全组时选择了“自定义”模板,创建完成后可单击立即设置规则,进行 添加安全组规则。
安全组常见应用场景
本文介绍了几个常见的安全组应用场景,如果以下场景可以满足您的需求,可直接按照场景中的推荐配置进行安全组的设置。
场景一:允许 SSH 远程连接 Linux 云服务器
案例:创建了一台 Linux 云服务器,希望可以通过 SSH 远程连接到云服务器。
解决方法:添加安全组规则 时,在 “类型” 中选择 “Linux 登录”,开通来源为 WebShell 代理 IP 的22号协议端口,允许 Linux SSH 登录。
还可以根据实际需求,放通全部 IP 或指定 IP(IP 网段),可通过 SSH 远程连接到云服务器的 IP 来源。
方向 | 类型 | 来源 | 协议端口 | 策略 |
---|---|---|---|---|
入方向 | Linux 登录 |
| TCP:22 | 允许 |
场景二:允许 RDP 远程连接 Windows 云服务器
案例:创建了一台 Windows 云服务器,要求可以通过 RDP 远程连接到云服务器。
解决方法:添加安全组规则 时,在 “类型” 中选择 “Windows 登录”,开通来源为 WebRDP 代理 IP 的3389号协议端口,允许 Windows 远程登录。
还可以根据实际需求,放通全部 IP 或指定 IP(IP网 段),可通过 RDP 远程连接到云服务器的 IP 来源。
方向 | 类型 | 来源 | 协议端口 | 策略 |
---|---|---|---|---|
入方向 | Windows 登录 |
| TCP:3389 | 允许 |
场景三:允许公网 Ping 服务器
案例:创建一台云服务器,要求可以测试这台云服务器和其他云服务器之间的通信状态
解决方法:使用 ping 进行测试。即在 添加安全组规则 时,将 “类型” 选择为 “Ping”,开通 ICMP 协议端口,允许其他云服务器通过 ICMP 协议访问该云服务器。
可以根据实际需求,放通全部 IP 或指定 IP(IP 网段),配置允许通过 ICMP 协议访问云服务器的 IP 来源。
方向 | 类型 | 来源 | 协议端口 | 策略 |
---|---|---|---|---|
入方向 | Ping |
| ICMP | 允许 |
场景四:Telnet 远程登录
案例:要求通过 Telnet 远程登录云服务器。
解决方法:如需通过 Telnet 远程登录云服务器,则需在 添加安全组规则 时,配置以下安全组规则:
方向 | 类型 | 来源 | 协议端口 | 策略 |
---|---|---|---|---|
入方向 | 自定义 |
| TCP:23 | 允许 |