Todos los productos
Search

Este producto

    Elastic Compute Service:Security groups

    Centro de documentos

    Elastic Compute Service:Security groups

    Última actualización: Sep 18, 2026

    Los Security groups funcionan como firewalls virtuales para las instancias ECS. Utilizan reglas que proporcionan un aislamiento de red detallado y control de acceso.

    En este ejemplo se muestra cómo configurar dos reglas de security group: una para permitir la administración remota de una instancia únicamente desde una dirección IP autorizada, y otra para evitar que la instancia acceda a sitios de alto riesgo en la red pública.

    • Regla de entrada: permite el acceso a la instancia mediante SSH (puerto 22) desde una dirección IP específica (121.XX.XX.XX).

    • Regla de salida: impide que la instancia acceda a una dirección IP conocida de alto riesgo (XX.XX.XX.XX).

    image

    Configurar un security group

    1. Vaya a la página de compra de instancias: en la página ECS console - Custom Launch, seleccione las configuraciones de la instancia.

    2. Cree un security group: en la sección Network and Security Group, cree un security group básico o empresarial y especifique un nombre.

    3. Configure rápidamente las reglas comunes: al comprar una instancia, la consola proporciona una lista de reglas comunes. Seleccione estas reglas para permitir que el tráfico de todas las direcciones IP (0.0.0.0/0) acceda a puertos o protocolos específicos de la instancia.

    No es posible configurar reglas detalladas de security group durante la creación de la instancia; hágalo después de crearla. Si selecciona puertos de administración remota, como SSH (22) y RDP (3389), durante la configuración rápida, se recomienda modificar las reglas del security group tras crear la instancia. De esta forma, solo se permitirá el acceso desde direcciones IP de confianza.

    1. Configure las reglas del security group después de la creación: una vez comprada la instancia, consulte Security group rules para configurar las reglas del security group.

    Para consultar más ejemplos de configuraciones de reglas de security group en diversos escenarios empresariales, como la restricción de acceso a instancias y la implementación de políticas de seguridad para bases de datos, consulte Security group application and use cases .

    Asociar un security group con una instancia existente

    Cuando asocia un security group con una instancia ECS, este se aplica a la interfaz de red principal de la instancia.

    1. Cree un security group.

      Si no necesita crear un nuevo security group, vaya directamente a associate a security group with an existing instance.

      Consola

      1. Vaya a la página ECS console - Security Groups y haga clic en Create Security Group.

      2. Establezca el nombre del security group y especifique un Virtual Private Cloud.

      3. Seleccione Basic Security Group o Advanced Security Group como tipo de security group.

      4. Configure las reglas del security group.

        Haga clic en Add Rule. También puede Modify o Delete las reglas existentes. Las reglas del security group son stateful. Solo necesita configurar las reglas de entrada, ya que el sistema permite automáticamente el tráfico de respuesta de salida correspondiente. Consulte a continuación la tabla sobre puertos comunes y orígenes recomendados. Para ver ejemplos completos, consulte Security group application and use cases.

        Ejemplos de reglas para puertos comunes

        Puerto

        Protocolo

        Propósito

        Origen

        Referencia

        22

        TCP

        Conexión remota SSH (Linux)

        Su red de oficina o una dirección IP pública fija. No se recomienda usar 0.0.0.0/0 de forma permanente.

        Use Case 2

        3389

        TCP

        Escritorio remoto RDP (Windows)

        Su red de oficina o una dirección IP pública fija. No se recomienda usar 0.0.0.0/0 de forma permanente.

        Use Case 2

        80

        TCP

        HTTP

        Puede usar 0.0.0.0/0 para sitios web públicos.

        Use Case 1

        443

        TCP

        HTTPS

        Puede usar 0.0.0.0/0 para sitios web públicos.

        Use Case 1

        8888

        TCP

        Se utiliza para paneles de administración, como BT-Panel. El puerto real depende de la configuración del panel.

        Permita el tráfico únicamente desde las direcciones IP de los administradores. Abra el puerto especificado durante la instalación del panel.

        -

        3306 u otros puertos

        TCP

        Acceso de aplicaciones a una base de datos dentro de la VPC

        En las reglas de entrada del security group de la base de datos, autorice el security group de origen. No exponga este puerto al público.

        Use Case 3

        Puerto de servicio

        TCP

        Comunicación entre distintos security groups (por ejemplo, en los puertos 8080 y 3306)

        En las reglas de entrada del security group de destino, autorice el ID del security group de origen.

        Use Case 5
        Aviso

        • Principio de privilegio mínimo: los puertos 80/443 pueden abrirse al público según sea necesario. El acceso por SSH (puerto 22), RDP (puerto 3389) y los puertos de paneles de administración deben restringirse a direcciones IP de confianza. Evite usar 0.0.0.0/0 o ::/0.

        • Prioridad de las reglas: cuando varias reglas tienen la misma prioridad, las de denegación prevalecen. Los security groups permiten certain types of network traffic de forma predeterminada.

        • Gestión de cambios: evite modificar directamente los security groups en el entorno de producción. Se recomienda primero clone a security group, comprobarlo en un entorno de pruebas y luego ajustar las reglas de producción.

      5. Haga clic en OK.

        Un nuevo Basic Security Group sin reglas configuradas tiene los siguientes comportamientos predeterminados: se permite todo el tráfico de salida y también el tráfico de entrada proveniente de otras instancias ECS dentro del mismo security group. Todo el demás tráfico de entrada se deniega.

      API

      Llame a CreateSecurityGroup para crear un security group.

      Después de crear un security group, llame a las siguientes operaciones de API para gestionar sus reglas:

    2. Asocie un security group con una instancia existente.

      Consola

      1. En la página ECS console - Instances, haga clic en el ID de una instancia para abrir su página de detalles.

      2. En la página de detalles de la instancia, vaya a la pestaña Security Group. En la lista de security groups, haga clic en Change Security Groups para agregar o quitar security groups. Cuando se asocian varios security groups, sus reglas se combinan y se aplican según su prioridad.

      API

    Asociar una ENI secundaria con un security group

    Los security groups se aplican a la elastic network interfaces de una instancia ECS. Si una instancia tiene varias interfaces de red elásticas, puede asociar distintos security groups con cada una y configurar reglas específicas para lograr un control de tráfico por niveles y aislar servicios.

    Consola

    1. Vaya a la página ECS console - Elastic Network Interfaces y haga clic en el ID de la interfaz de red elástica secundaria de destino para abrir su página de detalles.

    2. Haga clic en Change Security Groups, seleccione los security groups que desea asociar y, a continuación, haga clic en OK.

    API

    Comunicación de red dentro del grupo

    De forma predeterminada, las instancias ECS dentro del mismo security group básico pueden comunicarse entre sí a través de la red interna. Para mejorar la seguridad, puede cambiar la política de conectividad interna a aislamiento interno y así evitar la comunicación por la red interna.

    Los security groups empresariales no admiten el cambio de la política de conectividad interna.

    • Si una instancia está asociada con varios security groups, se permite la comunicación por la red interna siempre que la política de conectividad de como mínimo uno de ellos lo permita.

    • Si la política de conectividad de un security group se establece en aislamiento interno, aún puede configurar reglas de security group para permitir la comunicación entre instancias.

    Consola

    1. Vaya a la página ECS console - Security Groups y haga clic en el ID del security group de destino para abrir su página de detalles.

    2. En la página Security Group Details, dentro de la sección Basic Information, haga clic en Modify Internal Access Control Policy.

    3. Compruebe que la política de conectividad del security group ahora sea Internal Isolation.

    API

    Para modificar la política de conectividad de un security group básico, llame a la operación ModifySecurityGroupPolicy.

    Acceso de red entre security groups

    Cuando establece otro security group como origen de una regla, las instancias del security group de origen pueden acceder a las instancias del security group actual mediante la red interna. Por ejemplo, si agrega una regla de entrada al security group A y establece el security group B como origen, las instancias del security group B podrán acceder a las del security group A.

    Las reglas de un security group empresarial no admiten especificar otro security group como origen.

    image

    Consola

    1. Vaya a la página ECS console - Security Groups y haga clic en el ID de un security group para abrir su página de detalles.

    2. En la página Security Group Details de destino, seleccione una dirección de regla y haga clic en Add Rule.

    3. En la página Create Security Group Rule, establezca Source en Security Group o en Cross-account Security Group.

    API

    • Llame a AuthorizeSecurityGroup y configure el parámetro SourceGroupId en una regla de entrada para especificar el security group de origen.

    • Llame a AuthorizeSecurityGroupEgress y configure el parámetro DestGroupId en una regla de salida para especificar el security group de destino.

    Más operaciones

    Agregar, modificar o eliminar reglas de security group

    Las reglas de security group definen las condiciones que debe cumplir el tráfico de red para que se le permita entrar o salir de un security group. Al configurar una regla, debe especificar la dirección del tráfico, el destino y la prioridad. Las reglas de security group son stateful. Solo necesita configurar las reglas de entrada, ya que el security group permite automáticamente el tráfico de respuesta de salida correspondiente.

    Consola

    1. Vaya a la página ECS console - Security Groups. Haga clic en el ID del security group de destino para ir a su página de detalles.

    2. Configure las reglas del security group.

      • Para agregar una regla: en la página del security group de destino, seleccione una dirección y haga clic en Add Rule.

        Ejemplos de reglas para puertos comunes

        Puerto

        Protocolo

        Propósito

        Origen

        Referencia

        22

        TCP

        Conexión remota SSH (Linux)

        Su red de oficina o una dirección IP pública fija. No se recomienda usar 0.0.0.0/0 de forma permanente.

        Use Case 2

        3389

        TCP

        Escritorio remoto RDP (Windows)

        Su red de oficina o una dirección IP pública fija. No se recomienda usar 0.0.0.0/0 de forma permanente.

        Use Case 2

        80

        TCP

        HTTP

        Puede usar 0.0.0.0/0 para sitios web públicos.

        Use Case 1

        443

        TCP

        HTTPS

        Puede usar 0.0.0.0/0 para sitios web públicos.

        Use Case 1

        8888

        TCP

        Se utiliza para paneles de administración, como BT-Panel. El puerto real depende de la configuración del panel.

        Permita el tráfico únicamente desde las direcciones IP de los administradores. Abra el puerto especificado durante la instalación del panel.

        -

        3306 u otros puertos

        TCP

        Acceso de aplicaciones a una base de datos dentro de la VPC

        En las reglas de entrada del security group de la base de datos, autorice el security group de origen. No exponga este puerto al público.

        Use Case 3

        Puerto de servicio

        TCP

        Comunicación entre distintos security groups (por ejemplo, en los puertos 8080 y 3306)

        En las reglas de entrada del security group de destino, autorice el ID del security group de origen.

        Use Case 5
        Aviso

        • Principio de privilegio mínimo: los puertos 80/443 pueden abrirse al público según sea necesario. El acceso por SSH (puerto 22), RDP (puerto 3389) y los puertos de paneles de administración deben restringirse a direcciones IP de confianza. Evite usar 0.0.0.0/0 o ::/0.

        • Prioridad de las reglas: cuando varias reglas tienen la misma prioridad, las de denegación prevalecen. Los security groups permiten certain types of network traffic de forma predeterminada.

        • Gestión de cambios: evite modificar directamente los security groups en el entorno de producción. Se recomienda primero clone a security group, comprobarlo en un entorno de pruebas y luego ajustar las reglas de producción.

      • Modifique una regla: en el área Access Rule de la página de detalles del security group de destino, busque la regla correspondiente y haga clic en Edit en la columna Actions.

      • Elimine una regla: en la página de detalles del security group de destino, dentro del área Access Rule, busque la regla correspondiente y haga clic en Delete en la columna Actions.

    API

    Si las reglas tienen la misma prioridad, las de denegación prevalecen. Para certain types of network traffic , el security group permite el tráfico de forma predeterminada.
    Aviso

    • Para reducir las amenazas de seguridad en su entorno de producción, configure las reglas del security group basándose en el principio de privilegio mínimo (lista blanca). Evite permitir el acceso desde todos los orígenes (0.0.0.0/0 o ::/0), especialmente en escenarios importantes como el inicio de sesión o la administración de instancias ECS.

    • No modifique directamente los security groups en un entorno de producción. Primero puede clone the security group y probarlo en un entorno de pruebas. Una vez que confirme que el tráfico de la instancia es normal, modifique las reglas del security group en el entorno de producción.

    Listas de prefijos

    Utilice las listas de prefijos para gestionar de forma centralizada los permisos de varios rangos de direcciones IP. Esto simplifica la configuración de las reglas del security group y mejora la eficiencia del mantenimiento por lotes.

    Consola

    1. Cree una lista de prefijos:

      1. Vaya a ECS console - Prefix Lists.

      2. Haga clic en Create Prefix List.

        En un security group que hace referencia a una lista de prefijos, el recuento de reglas se basa en el número máximo de entradas especificado para la lista.

    2. En la página de detalles del security group de destino, agregue o modifique una regla en la sección Access Rule:

      1. Establezca Source en una lista de prefijos y seleccione la lista de prefijos de destino.

    API

    Reglas redundantes

    La función de comprobación de estado puede identificar reglas redundantes. Una regla es redundante si sus condiciones están cubiertas por completo por otra regla que tiene una prioridad igual o superior. Las reglas redundantes consumen la cuota de reglas del security group. Elimínelas periódicamente para evitar fallos al agregar nuevas reglas debido a una cuota agotada.

    1. Vaya a ECS console - Security Groups. En la página de detalles del security group de destino, haga clic en la pestaña Access Rule y, a continuación, haga clic en Health Check.

    2. En el cuadro de diálogo Health Check, seleccione las reglas redundantes que desea eliminar y haga clic en Delete Selected Rules.

    Clonar security groups

    Puede clonar un security group para crear rápidamente varios security groups con la misma configuración, o bien para respaldarlo copiándolo entre regiones o tipos de red. Después de la clonación, el nuevo security group aparece en la lista de security groups de la región de destino.

    1. Vaya a ECS console - Security Groups. En la columna Operation del security group de destino, haga clic en Clone Security Group.

    2. Configure el security group de destino. Después de la clonación, el nuevo security group aparece en la lista de security groups de la región de destino.

      • VPC ID: la VPC a la que pertenece el nuevo security group.

      • Retention Rule: seleccione esta opción para conservar todas las reglas del security group de origen. A las reglas con una prioridad superior a 100 se les reasigna una prioridad de 100.

      • Copy Tags of Current Security Group: especifique si desea copiar las etiquetas del security group de origen al nuevo security group.

    Importación y exportación de reglas

    Las reglas se pueden importar y exportar para crear una copia de seguridad, restaurarlas o migrarlas.

    Importar reglas

    Las reglas de security group que se importen deben cumplir los siguientes requisitos:

    • Formato del archivo: JSON o CSV.

    • Cantidad de reglas: se pueden importar un máximo de 200 reglas a la vez.

    • Prioridad de las reglas: de 1 a 100. El sistema ignora las reglas con una prioridad mayor a 100.

    Al importar reglas entre distintas regiones, no se admiten las reglas que hacen referencia a otros security groups, listas de prefijos o listas de puertos.

    1. Vaya a Consola de ECS - Security Groups. En la página de detalles del security group correspondiente, haga clic en Import Security Group Rule dentro de la sección Access Rule.

    2. En la página Import Security Group Rule, haga clic en Select a file, seleccione un archivo local en formato JSON o CSV y luego haga clic en OK.

    Si la importación falla, pase el cursor sobre el ícono de advertencia para consultar la causa.

    Exportar reglas

    Vaya a Consola de ECS - Security Groups. En la página de detalles del security group correspondiente, haga clic en Export dentro de la sección Access Rule. El archivo de reglas exportado recibe un nombre con alguno de los siguientes formatos:

    • Formato JSON: ecs_${region_id}_${groupID}.json.

      Ejemplo: si el ID de la región es cn-qingdao y el ID del security group es sg-123 , el archivo exportado se llama ecs_cn-qingdao_sg-123.json .

    • Formato CSV: ecs_sgRule_${groupID}_${region_id}_${time}.csv.

      Ejemplo: si el ID de la región es cn-qingdao , el ID del security group es sg-123 y la fecha de exportación es 2020-01-20 , el archivo exportado se llama ecs_sgRule_sg-123_cn-qingdao_2020-01-20.csv .

    Instantáneas de security group

    Las instantáneas de security group permiten crear copias de seguridad automáticas de las reglas. Cuando se modifica una regla, el sistema genera una instantánea de forma automática. Estas instantáneas sirven para restaurar las reglas a un momento específico y evitar su pérdida por operaciones accidentales.

    Importante

    • El sistema crea la instantánea 5 minutos después de modificar una regla. Si ocurren varios cambios durante ese lapso de 5 minutos, solo se genera una instantánea basada en las reglas vigentes antes del primer cambio.

    • Las instantáneas de security group utilizan Object Storage Service (OSS) para almacenar los datos de la copia de seguridad. OSS es un servicio pay-as-you-go. Por lo tanto, al usar estas instantáneas se generan cargos por almacenamiento y solicitudes de OSS.

    Crear una política de instantáneas

    1. Vaya a Consola de ECS - Security Group Snapshots y haga clic en Create Security Group Snapshot Policy.

    2. En el cuadro de diálogo Create Snapshot Policy, configure los siguientes parámetros:

      • Policy Name:: introduzca un nombre para la política de instantáneas.

      • Status: seleccione Enable o Disable. Solo se crean instantáneas para los security groups asociados cuando la política está habilitada.

      • Retention Period: especifique el número de días que se conservarán las instantáneas. Valores válidos: de 1 a 30. Valor predeterminado: 1. Las instantáneas caducadas se eliminan automáticamente.

      • OSS Storage Configuration: configure el bucket de OSS donde desea almacenar los datos de las instantáneas. Si deja vacío el nombre del bucket, el sistema utiliza el bucket predeterminado.

    3. Haga clic en OK.

      La primera vez que cree una política de instantáneas, el sistema le pedirá autorizar el rol vinculado al servicio (SLR) ALIYUNSECURITYGROUPSNAPSHOTROLE para acceder a sus buckets de OSS. Si el rol ya existe, no es necesario volver a otorgar la autorización.

    Asociar políticas a security groups

    Después de crear una política de instantáneas, asóciela a un security group para comenzar a respaldar sus reglas.

    Al asociar un security group con una política de instantáneas, el sistema crea de inmediato una instantánea para dicho grupo.

    1. Vaya a Consola de ECS - Security Group Snapshots. Busque la política de instantáneas y haga clic en Associated Security Group en la columna Operation.

    2. En el cuadro de diálogo Associated Security Group, seleccione los security groups que desea asociar.

      Una política de instantáneas se puede asociar con hasta 10 security groups. Un mismo security group admite varias políticas de instantáneas con configuraciones distintas.

    3. Haga clic en OK.

    Restaurar reglas desde una instantánea

    Importante

    La restauración surte efecto de inmediato y no se puede deshacer. Esta operación sobrescribe todas las reglas actuales del security group con las reglas contenidas en la instantánea.

    1. Vaya a la página Consola de ECS - Security Groups y haga clic en el ID del security group correspondiente.

    2. En la página de detalles del security group, haga clic en la pestaña Snapshots. Busque la instantánea que utilizará para la reversión y haga clic en Restore Snapshot en la columna Operation.

    3. En el cuadro de diálogo Restore Security Group, confirme la información que se va a restaurar.

      • En las pestañas Inbound y Outbound, compare las Current Security Group Rules con las Restored Security Group Rules.

      • Una vez confirmada la información, haga clic en OK.

    Eliminar security groups

    Aviso

    Eliminar un security group es una operación irreversible que borra permanentemente todas sus reglas. Antes de eliminarlo, compruebe que haya creado una copia de seguridad de su configuración.

    Console

    1. Vaya a Consola de ECS - Security Groups. En la columna Operation del security group correspondiente, haga clic en Delete.

    2. En el cuadro de diálogo Delete Security Group, confirme la información y haga clic en OK.

      Si un security group no está asociado a ninguna instancia de ECS ni a ninguna interfaz de red elástica, pero el cuadro de diálogo Delete Security Group sigue mostrando el estado Undeletable, haga clic en Force-delete.

    API

    Llame a DeleteSecurityGroup para eliminar un security group.

    No es posible eliminar un security group en los siguientes escenarios:

    • El security group está asociado a una instancia de ECS o a una interfaz de red elástica. Primero debe desasociarlo de la instancia o de la interfaz de red elástica para poder eliminarlo.

    • Una regla de otro security group hace referencia a este security group. Es necesario eliminar primero dicha regla.

    • Los Managed security groups son de solo lectura y no se pueden eliminar.

    • La protección contra eliminación está habilitada para el security group. Debe deshabilitarla e intentar de nuevo. Si no logra deshabilitarla, no podrá eliminar el security group.

      La protección contra eliminación está habilitada si la llamada a la operación DeleteSecurityGroup devuelve el código de error InvalidOperation.DeletionProtection , o si la consola muestra un mensaje sobre deletion protection .

    Recomendaciones para producción

    • Planificación de security groups

      • Responsabilidad única: utilice security groups distintos para diferentes cargas de trabajo, como las capas web, de base de datos y de caché.

      • Aislamiento de entornos: mantenga separados los security groups de los entornos de producción y de prueba.

      • Convención de nombres: aplique un formato consistente, por ejemplo, environment-application-purpose-sg. Como caso práctico, prod-mysql-db-sg.

    • Configuración de reglas

      • Principio de menor privilegio: abra únicamente los puertos necesarios hacia los orígenes requeridos. Evite exponer puertos de administración como SSH (22) y RDP (3389) a 0.0.0.0/0. El acceso siempre debe restringirse a direcciones IP fijas y de confianza.

      • Denegación predeterminada: deniegue todo el tráfico entrante de forma predeterminada. Agregue reglas de entrada para permitir el acceso desde orígenes específicos a puertos concretos solo cuando sea necesario.

      • Conflictos de prioridad entre reglas: si una instancia está asociada a varios security groups, una regla de denegación con mayor prioridad anula una regla de permiso con menor prioridad. Para solucionar problemas de conectividad de red, revise todos los security groups asociados.

    • Gestión de cambios

      • Evite cambios directos en entornos de producción: modificar security groups en producción representa una operación de alto riesgo. Primero, clone a security group y valide los cambios en un entorno de prueba. Tras confirmar que el tráfico de las instancias no se ve afectado, modifique las reglas del security group en el entorno de producción.

    Facturación

    Los security groups no tienen costo.

    Límites

    Restriction

    Basic security group

    Enterprise security group

    Máximo de security groups por cuenta y región

    ID de cuota: q_security-groups. Consulte View or increase ECS quotas.

    Igual que en los security groups básicos

    Security groups por ENI

    10

    Igual que en los security groups básicos

    Máximo de reglas (entrantes + salientes) en todos los security groups por ENI

    1,000

    Igual que en los security groups básicos

    Reglas que usan otro security group como objeto de autorización

    20

    0. Los security groups empresariales no admiten objetos de autorización de tipo security group, ni pueden usarse como tales en reglas de otros grupos.

    Instancias de ECS por security group de VPC

    No es fijo; depende de la cantidad de direcciones IP privadas que el security group pueda contener.

    Sin límite

    Máximo de direcciones IP privadas por security group de VPC, cuenta y región

    6,000. El conteo incluye todos los tipos de direcciones en las ENI asociadas (IPv4 privada principal, IPv6, IPv4 privada secundaria, prefijos IPv4 y prefijos IPv6). Si necesita más de 6,000 direcciones IP privadas para comunicarse por la red interna, distribuya las instancias de ECS en varios security groups y permita el acceso entre ellos. Consulte esta cuota mediante el ID q_vpc-normal-security-group-ip-count en Centro de cuotas.

    65,536. El conteo representa el total de ENI (principales y secundarias) asociadas al security group.

    Puerto público 25

    Restringido de forma predeterminada por motivos de seguridad. Utilice el puerto 465 cifrado con SSL para enviar correos electrónicos.

    Igual que en los security groups básicos

    Preguntas frecuentes

    No se puede hacer ping a una instancia

    Los fallos de ping hacia una instancia de ECS suelen deberse a la falta de una regla de security group que permita el tráfico ICMP entrante (el protocolo que usa el comando ping). La herramienta Security Group Rule Diagnosis le ayuda a identificar rápidamente el problema.

    1. Vaya a la página Consola de ECS - Instances, busque la instancia correspondiente y anote su ID.

    2. Click to open the Self-service Troubleshooting page and select the target region.

    3. Seleccione Security Group Rule Diagnosis y haga clic en Start Diagnosis.

    4. Seleccione el ID de instancia que anotó y su interfaz de red correspondiente. Luego, haga clic en Check.

      En la mayoría de los casos, una instancia tiene una sola interfaz de red.

    5. Revise los resultados del diagnóstico. Si el informe indica que el tráfico ICMP está bloqueado, haga clic en Enable Port.

      Además de ICMP, la herramienta de diagnóstico comprueba si se permite el tráfico en los siguientes puertos comunes: 80, 443, 22, 3389 y 8080.

    6. Si el problema persiste después del diagnóstico, consulte Troubleshoot ping failures to the public IP address of an ECS instance para ver pasos adicionales de solución de problemas.

    Problemas de conexión

    Si un servicio no es accesible, es probable que un security group esté bloqueando el tráfico en el puerto requerido. Use la herramienta de diagnóstico de reglas de security group para identificar el problema rápidamente.

    1. Vaya a la página Consola de ECS - Instances, busque la instancia correspondiente y anote su ID.

    2. Click to open the Self-service Troubleshooting page and select the target region.

    3. Seleccione Security group rule diagnosis y haga clic en Start diagnosis.

    4. Seleccione el ID de instancia que anotó y su interfaz de red elástica. Elija un método de diagnóstico para el puerto del servicio, haga clic en Check y revise los resultados.

      • Detección con un clic: use este método para los puertos 80, 443, 22, 3389 o 8080.

      • Detección personalizada: indicada para cualquier otro puerto. Debe introducir la siguiente información:

        • Dirección de origen: introduzca la dirección IP pública de su computadora local o cliente.

        • Puerto de destino: introduzca el número de puerto que usa el servicio.

        • Tipo de protocolo: seleccione el protocolo del puerto.

    ¿Qué hago si fallan las solicitudes curl salientes desde una instancia?

    Si una instancia de ECS no logra conectarse al usar curl para acceder a un servicio externo, siga estos pasos para solucionar el problema.

    1. Revise las reglas salientes del firewall del host. Ejecute iptables -L OUTPUT o firewall-cmd --list-all para comprobar si alguna regla bloquea el puerto 80 o 443.

    2. Compruebe las reglas salientes del security group. En la página Security Groups de la consola de ECS, consulte las reglas salientes y verifique si alguna regla de denegación bloquea el puerto 80 o 443. Una regla de denegación en un security group provoca que la conexión agote el tiempo de espera (Connection timed out), lo cual difiere del error Connection reset by peer.

    3. Pruebe con una dirección de destino distinta. Ejecute curl -v para acceder a otra dirección. Si algunas direcciones funcionan, compruebe si el destino restringe el acceso desde la dirección IP de la instancia de ECS o si bloquea el agente de usuario de curl.

    Security groups frente a ACL de red

    Función

    Security group

    ACL de red

    Alcance

    Interfaz de red elástica

    Subred

    Gestión de estado

    Con estado

    Sin estado

    Propósito

    Firewall detallado para instancias

    Control de acceso perimetral para subredes

    Security group de la ENI principal

    Los security groups se aplican a la elastic network interfaces de una instancia de ECS. El security group de la interfaz de red principal de una instancia se configura en la pestaña Security Group de la página de detalles de la instancia. Para cambiar el security group de la interfaz de red principal, consulte Associate a security group with an existing instance.

    Permitir el acceso interno de Alibaba Cloud

    Agregue una regla de entrada en el security group para permitir el acceso desde el bloque CIDR 100.64.0.0/10. Alibaba Cloud utiliza este bloque de direcciones reservado para ejecutar comprobaciones de estado y monitorear la disponibilidad de las instancias.

    ¿Los escaneos de IP no autorizados siguen generando tráfico entrante después de configurar una lista blanca en el security group?

    Sí. Un security group filtra los paquetes de datos en la capa de red; una lista blanca solo controla si se permite una conexión, no si el paquete llega al borde de red de su instancia. Los paquetes TCP SYN enviados por una dirección IP no autorizada llegan al borde de red de su instancia de Elastic Compute Service (ECS) antes de que el security group los descarte, por lo que este tráfico se contabiliza como tráfico entrante. El tráfico entrante de Internet no genera cargos. Si recibe un volumen elevado de tráfico de escaneo o sondeo, puede usar Anti-DDoS Basic o Cloud Firewall para bloquearlo en una capa de red externa.

    Documentos relacionados