Security group rules - Elastic Compute Service - Centro de documentación de Alibaba Cloud

Defina reglas de control de acceso entrantes y salientes para las instancias ECS en un security group.

Antes de utilizar reglas de security group, tenga en cuenta lo siguiente:

En una VPC, las reglas de security group se clasifican como entrantes y salientes, y controlan tanto el tráfico de red pública como interna.
Los security groups son stateful. Una sesión puede durar hasta 910 segundos. Una vez establecida la conexión, el security group permite todo el tráfico dentro de esa sesión. Por ejemplo, si se permite un paquete entrante, también se permite el paquete saliente correspondiente.
Para evitar interrumpir sesiones establecidas al cambiar la asociación de un security group básico, primero agregue la instancia ECS o la elastic network interface al nuevo security group, espere aproximadamente 10 segundos y luego quítela del anterior.
El puerto TCP 25 está restringido de forma predeterminada por motivos de seguridad. Utilice el puerto 465 para enviar correos electrónicos.
Un security group sin reglas personalizadas aplica reglas predeterminadas implícitas. Los security groups básicos permiten el tráfico interno entrante desde instancias del mismo grupo y permiten todo el tráfico saliente de forma predeterminada. Los security groups empresariales deniegan tanto el tráfico entrante como el saliente de forma predeterminada. Consulte Basic and enterprise security groups.
La política de comunicación interna de un security group básico controla si las instancias del grupo pueden acceder entre sí a través de la red interna. De forma predeterminada, se permite la comunicación interna. Si las instancias no necesitan acceso interno mutuo, siga el principio de menor privilegio y configure la política para aislarlas. Consulte Modify the internal communication policy of a basic security group.
Cuando una instancia pertenece a varios security groups, las reglas de todos los grupos se agregan, ordenan y aplican junto con las reglas predeterminadas para permitir o denegar el tráfico. Consulte Security group custom rule matching policy.
Las reglas de security group tienen los siguientes límites:
- Una elastic network interface puede asociarse con un máximo de 10 security groups.
- El número total de reglas entrantes y salientes en todos los security groups para una sola elastic network interface no puede exceder 1,000.
Consulte Limits on security groups .

Mantenga las reglas concisas para permanecer dentro de los límites y reducir la complejidad. Utilice la función de health check para detectar y eliminar reglas redundantes. Consulte Check for redundant rules in a security group.

Componentes de las reglas

Una regla personalizada de security group consta de los siguientes componentes:

Protocol type: El protocolo de red que se debe coincidir. Admite dos tipos de valores:

Nombre del protocolo: TCP, UDP, ICMPv4, ICMPv6 y GRE.

Número de protocolo IP: Un entero de 0 a 255 según los estándares IANA. Por ejemplo, 6 para TCP, 17 para UDP, 1 para ICMPv4, 58 para ICMPv6 y 47 para GRE.

Regiones que admiten la configuración de números de protocolo

Nombre de región	ID de región
China (Hohhot)	cn-huhehaote
China (Qingdao)	cn-qingdao
Philippines (Manila)	ap-southeast-6
UK (London)	eu-west-1
Malaysia (Kuala Lumpur)	ap-southeast-3
US (Silicon Valley)	us-west-1
Singapore	ap-southeast-1

Port range: El puerto de destino. Especifique un rango de puertos único o una lista de puertos.
- Rango de puertos único: Para TCP y UDP, especifique un rango separado por una barra diagonal (/), como 8000/9000 o 22/22. Para otros protocolos, establézcalo en -1/-1. Consulte Common ports.
- Lista de puertos: Una colección de puertos. La regla consume entradas de cuota equivalentes a la capacidad máxima de la lista de puertos, no al recuento real de puertos. El tipo de protocolo debe ser TCP o UDP. Consulte Overview of port lists.
Authorization object: El origen del tráfico (entrante) o el destino (saliente). Especifique un bloque CIDR, una dirección IP, un security group o una lista de prefijos.
- Dirección IPv4: Por ejemplo, 192.168.0.100.
- Bloque CIDR IPv4: Por ejemplo, 192.168.0.0/24.
- Dirección IPv6: Por ejemplo, 2408:4321:180:1701:94c7:bc38:3bfa:9. El sistema normaliza las direcciones IPv6, como 2408:180:0000::1 a 2408:180::1.
- Bloque CIDR IPv6: Por ejemplo, 2408:4321:180:1701::/64. El sistema normaliza los bloques CIDR IPv6, como 2408:4321:180:0000::/64 a 2408:4321:180::/64.
- ID de security group: Otorgue acceso a un security group en su cuenta o en otra cuenta. El sistema coincide el tráfico mediante las direcciones IP privadas de las instancias ECS en el grupo objetivo. Por ejemplo, otorgar acceso al security group A permite el tráfico desde las direcciones IP privadas de las instancias en el grupo A.
- ID de lista de prefijos: Una colección de bloques CIDR. La regla consume entradas de cuota equivalentes a la capacidad máxima de la lista de prefijos, no al recuento real de bloques CIDR. Consulte Overview of prefix lists.
Authorization policy: La acción que se aplica al tráfico coincidente: Allow o Deny.
Priority: Un valor de 1 a 100. Un valor más pequeño indica una prioridad más alta. Las reglas se ordenan primero por prioridad y luego por authorization policy. Consulte Custom rule matching policy.
Rule direction: Inbound (tráfico entrante) o Outbound (tráfico saliente).
NIC type: En una VPC, las reglas controlan tanto el acceso a la red pública como a la interna.
Rule ID: Un ID único generado por el sistema para cada regla. Utilice este ID para modificar o eliminar la regla.

Una regla coincide con el tráfico según el tipo de protocolo, el rango de puertos y el authorization object, y luego lo permite o lo deniega. Para las reglas entrantes, el authorization object coincide con la dirección de origen; para las reglas salientes, coincide con la dirección de destino. El rango de puertos coincide con el puerto de destino. Para un control más preciso, utilice quintuple rules.

Política de coincidencia de reglas personalizadas

Una instancia ECS puede pertenecer a uno o más security groups. Para determinar si se permite el paso del tráfico (tomando como ejemplo el tráfico entrante), la política de coincidencia implica la coincidencia de una sola regla, así como la clasificación de múltiples reglas y su coincidencia secuencial:

Coincidencia de una sola regla

Cuando el tráfico llega a una instancia ECS, el sistema compara el tipo de protocolo, el rango de puertos y el authorization object (IP de origen/destino) del tráfico con cada regla personalizada. Solo se encuentra una coincidencia cuando se cumplen las tres condiciones. Una vez encontrada la coincidencia, el sistema ejecuta la acción de la regla (allow o deny) y deja de verificar las reglas subsiguientes.

Clasificación de múltiples reglas y coincidencia secuencial

Dado que una instancia ECS puede pertenecer a varios security groups, el sistema clasifica todas las reglas entrantes en el siguiente orden antes de realizar la coincidencia:

Primero, se verifican las reglas con valores de prioridad más pequeños (por ejemplo, la prioridad 1 se verifica antes que la prioridad 100).
Luego, en el mismo nivel de prioridad, las reglas de denegación (Drop) se colocan antes que las reglas de permiso (Accept).

El tráfico se compara secuencialmente de arriba hacia abajo con la lista de reglas ordenada. Una vez que se encuentra la primera regla coincidente, se ejecuta su acción y se detiene la verificación. Si ninguna regla personalizada coincide, se aplican las reglas de control de acceso predeterminadas del security group.

Además de las reglas personalizadas de security group, estos grupos cuentan con reglas de control de acceso predeterminadas implícitas que afectan si el tráfico se permite o se deniega. Consulte Basic and enterprise security groups.

Reglas especiales de security group

Los security groups permiten cierto tráfico de red específico de forma predeterminada en determinados escenarios para garantizar el funcionamiento estable de ECS y la funcionalidad adecuada de las funciones de la nube. No es posible bloquear este tráfico con reglas personalizadas. Estos escenarios incluyen:

Verificaciones de conectividad de red bajo condiciones específicas:

Cuando cambian los componentes subyacentes, Alibaba Cloud puede realizar sondeos Ping en las instancias ECS para verificar la conectividad de la red. Los security groups permiten este tráfico de sondeo de forma predeterminada.
ICMP (mensajes de error PMTUD):

Si una instancia ECS envía un paquete que supera la MTU de ruta con la bandera DF (Don't Fragment) activada, recibe un error ICMP que contiene la MTU correcta. Esto indica a la instancia que reduzca el tamaño de sus paquetes. Los security groups permiten este tráfico de forma predeterminada. Consulte Jumbo frames.
Tráfico de SLB:

Cuando una instancia de SLB (como ALB, NLB o CLB) reenvía tráfico a instancias ECS de backend, los security groups permiten este tráfico de forma predeterminada. En su lugar, son los security groups o las ACL de la instancia de SLB los que controlan el tráfico entrante y saliente.
Acceso a MetaServer:

MetaServer proporciona servicios de metadatos esenciales para las instancias ECS. Los security groups permiten el tráfico saliente hacia MetaServer (100.100.100.200) de forma predeterminada. No se requieren reglas adicionales.

Reglas de quinteto de security group

En la consola, las reglas de security group constan de los siguientes componentes de forma predeterminada:

Regla entrante: dirección IP de origen, puerto de destino y tipo de protocolo.
Regla saliente: dirección IP de destino, puerto de destino y tipo de protocolo.

Para un control más preciso, utilice una API para configurar reglas de quinteto. Las reglas de quinteto son totalmente compatibles con las reglas existentes y requieren cinco campos: dirección IP de origen, puerto de origen, dirección IP de destino, puerto de destino y tipo de protocolo.

Al especificar la IP de destino (entrante) o la IP de origen (saliente) para una instancia ECS específica, utilice su dirección IP privada, no la IP pública ni la EIP. Las IP públicas y las EIP son direcciones IP NAT en las puertas de enlace de Alibaba Cloud. Los security groups operan en la elastic network interface y controlan el tráfico mediante la IP privada.

Por ejemplo, la siguiente regla saliente de quinteto permite el tráfico TCP desde 172.16.1.0/32 en el puerto de origen 22 hacia 10.0.0.1/32:

Source IP address: 172.16.1.0/32
Source port: 22
Destination IP address: 10.0.0.1/32
Destination port: Unrestricted
Protocol type: TCP

Ejemplos de configuración de reglas

Configure reglas de security group para escenarios comunes, como alojar un servicio web o conectarse remotamente a una instancia: