Los security groups básicos y avanzados difieren en la capacidad de direcciones IP, la autorización basada en grupos y las reglas de control de acceso predeterminadas.
Al asociar una instancia ECS o una elastic network interface con varios security groups, todos los grupos deben ser del mismo tipo. No se pueden combinar security groups básicos y avanzados en un solo recurso.
Capacidad de direcciones IP privadas
Cuando asocia recursos como instancias ECS, elastic network interfaces o instancias ECI con un security group, sus direcciones IP privadas cuentan para la capacidad del grupo.
A continuación se comparan ambos tipos.
|
Tipo de security group |
Capacidad de IP privadas |
|
Security group básico |
VPC: 6,000 Nota
|
|
Security group avanzado |
VPC: 65,536 Nota
El uso de la capacidad se basa en el número total de ENI (primarias y secundarias) asociadas con el security group. |
Un security group avanzado admite más recursos que un security group básico en una VPC. Utilice un security group avanzado para clústeres grandes que superen la capacidad de IP del grupo básico.
Puede consulte el uso de direcciones IP de un security group en la consola ECS o mediante una llamada a una operación de API.
Autorización basada en grupos
Una regla de security group puede autorizar el acceso hacia o desde otro security group al hacer referencia a su ID.
|
Tipo de security group |
Autorización por grupo |
Descripción |
|
Security group básico |
Sí |
Las reglas pueden autorizar otros security groups básicos, hasta un máximo de 20 reglas de este tipo. Consulte Límites de security group. |
|
Security group avanzado |
No |
Las reglas no pueden usar un security group como objeto de autorización. Un security group avanzado tampoco puede servir como objeto de autorización en las reglas de otros grupos. |
Interconectividad interna
En un security group básico, las instancias del mismo grupo pueden acceder entre sí a través de la red interna de forma predeterminada. Esto se puede cambiar al modificar la directiva de acceso interno. En un security group avanzado, las instancias están aisladas de forma predeterminada y esta directiva no se puede modificar.
|
Tipo de security group |
Directiva de acceso interno |
|
Security group básico |
Configurable. Predeterminado: Internal Interconnectivity. Nota
Para restringir la comunicación entre instancias, modifique la directiva de acceso interno en la consola ECS. Consulte Modify the internal access policy of a basic security group. |
|
Security group avanzado |
No configurable. Fijo: Internal Isolation. |
Reglas de control de acceso predeterminadas
Los security groups básicos y avanzados aplican diferentes reglas de control de acceso predeterminadas. En los security groups básicos, la directiva de acceso interno determina las reglas de entrada predeterminadas. Estas reglas predeterminadas invisibles se combinan con sus reglas personalizadas para controlar el tráfico.
En las siguientes tablas, las reglas se evalúan en orden descendente de prioridad (1, 2, 3...).
Security group básico
Interconectividad interna
-
Entrada
Con la interconectividad interna, el tráfico proveniente de otras instancias del mismo grupo se permite de forma predeterminada (Prioridad 1), lo que anula las reglas personalizadas. El tráfico que coincide con una regla personalizada se permite o deniega según la acción de dicha regla (Prioridad 2). Todo el demás tráfico se deniega (Prioridad 3).
Prioridad
Tipo de regla
Tipo de tráfico
Acción
1
Regla de control de acceso predeterminada (invisible)
Tráfico de otras instancias ECS en el mismo security group
Allow
2
Regla personalizada
Tráfico que coincide con una regla personalizada
Allow o Deny (según la acción de la regla)
3
Regla de control de acceso predeterminada (invisible)
Todo el demás tráfico
Deny
-
Salida
El tráfico que coincide con una regla personalizada se permite o deniega según la acción de dicha regla (Prioridad 1). Todo el demás tráfico de salida se permite de forma predeterminada (Prioridad 2).
Prioridad
Tipo de regla
Tipo de tráfico
Acción
1
Regla personalizada
Tráfico que coincide con una regla personalizada
Allow o Deny (según la acción de la regla)
2
Regla de control de acceso predeterminada (invisible)
Todo el demás tráfico
Allow
Aislamiento interno
-
Entrada
Con el aislamiento interno, el tráfico de entrada que coincide con una regla personalizada se permite o deniega según la acción de dicha regla (Prioridad 1). Todo el demás tráfico de entrada se deniega (Prioridad 2).
Prioridad
Tipo de regla
Tipo de tráfico
Acción
1
Regla personalizada
Tráfico que coincide con una regla personalizada
Allow o Deny (según la acción de la regla)
2
Regla de control de acceso predeterminada (invisible)
Todo el demás tráfico
Deny
-
Salida:
Las reglas de salida son las mismas que bajo la interconectividad interna.
Prioridad
Tipo de regla
Tipo de tráfico
Acción
1
Regla personalizada
Tráfico que coincide con una regla personalizada
Allow o Deny (según la acción de la regla)
2
Regla de control de acceso predeterminada (invisible)
Todo el demás tráfico
Allow
La directiva de acceso interno afecta las reglas de entrada predeterminadas de un security group básico. Con la interconectividad interna, el tráfico de otras instancias del mismo grupo se permite de forma predeterminada. Como práctica recomendada, establezca la directiva en aislamiento interno si las instancias no necesitan comunicarse entre sí.
Security group avanzado
-
Entrada:
El tráfico de entrada que coincide con una regla personalizada se permite o deniega según la acción de dicha regla (Prioridad 1). Todo el demás tráfico de entrada se deniega de forma predeterminada (Prioridad 2).
Prioridad
Tipo de regla
Tipo de tráfico
Acción
1
Regla personalizada
Tráfico que coincide con una regla personalizada
Allow o Deny (según la acción de la regla)
2
Regla de control de acceso predeterminada (invisible)
Todo el demás tráfico
Deny
-
Salida:
El tráfico de salida que coincide con una regla personalizada se permite o deniega según la acción de dicha regla (Prioridad 1). Todo el demás tráfico de salida se deniega de forma predeterminada (Prioridad 2).
Prioridad
Tipo de regla
Tipo de tráfico
Acción
1
Regla personalizada
Tráfico que coincide con una regla personalizada
Allow o Deny (según la acción de la regla)
2
Regla de control de acceso predeterminada (invisible)
Todo el demás tráfico
Deny