All Products
Search

This Product

    Server Load Balancer:Gunakan security group sebagai daftar hitam atau daftar putih untuk ALB

    Document Center

    Server Load Balancer:Gunakan security group sebagai daftar hitam atau daftar putih untuk ALB

    Last Updated:Aug 06, 2026

    Security group adalah firewall virtual yang mengontrol lalu lintas inbound dan outbound Application Load Balancer (ALB) berdasarkan aturan inbound dan outbound. Untuk mengizinkan atau menolak akses dari alamat IP tertentu ke instans ALB, Anda dapat menambahkan instans tersebut ke dalam security group. Security group dapat berfungsi sebagai daftar hitam atau daftar putih untuk instans ALB, serta memungkinkan penerapan kontrol akses yang lebih granular melalui aturan khusus.

    Skema Penggunaan

    Secara default—baik instans ALB dikaitkan dengan security group maupun tidak—port listener-nya menerima semua permintaan inbound. Menambahkan security group yang hanya berisi aturan Allow tidak mengubah perilaku ini. Untuk membatasi akses hanya ke alamat IP tertentu, tambahkan setidaknya satu aturan Deny ke dalam security group tersebut.

    Security group ALB hanya berlaku untuk lalu lintas inbound. Lalu lintas outbound (tanggapan terhadap permintaan klien) tidak pernah dibatasi, sehingga tidak diperlukan aturan outbound.

    Security group terkelola

    Saat Anda membuat instans ALB, sistem secara otomatis membuat security group terkelola di virtual private cloud (VPC) yang sama. Security group ini bersifat read-only—Anda dapat melihat aturannya tetapi tidak dapat mengubahnya.

    Security group terkelola berisi aturan-aturan berikut:

    Priority

    Action

    Protocol

    Source

    Port range

    Description

    1

    Allow

    All

    NLB local IP addresses

    All

    Mengaktifkan komunikasi antara instans ALB dan server backend-nya, serta mengizinkan traffic pemeriksaan kesehatan

    100

    Allow

    All

    0.0.0.0/0

    All

    Mengizinkan semua lalu lintas inbound secara default

    (invisible)

    Deny

    All

    0.0.0.0/0

    All

    Aturan deny-all default yang tertanam di security group dasar dan advanced; aturan Allow prioritas 100 memiliki prioritas lebih tinggi
    Penting

    Jangan menambahkan aturan Deny dengan prioritas 1 yang menargetkan alamat IP lokal ALB. Aturan semacam itu bertentangan dengan security group terkelola dan dapat mengganggu komunikasi antara instans ALB dan server backend-nya. Untuk memeriksa alamat IP lokal instans ALB Anda, login ke ALB console.

    Topik ini menjelaskan cara menggunakan security group sebagai daftar hitam dan daftar putih dalam dua skenario. Untuk informasi selengkapnya tentang prioritas aturan security group, lihat Kebijakan pengurutan aturan security group.

    Daftar Hitam: Konfigurasikan security group ALB untuk menolak akses dari alamat IP tertentu

    Sebuah perusahaan men-deploy bisnisnya pada ALB di suatu wilayah Alibaba Cloud. Pemeriksaan keamanan mendeteksi permintaan serangan dari alamat IP tertentu, misalnya 121.XX.XX.12. Perilaku semacam ini dapat menyebabkan risiko bisnis dan keamanan, seperti kebocoran data.

    Untuk mengatasi masalah ini, perusahaan dapat mengonfigurasi aturan security group untuk instans ALB guna menolak akses dari alamat IP tertentu, seperti 121.XX.XX.12. Aturan tersebut dapat memblokir permintaan berbahaya dari alamat IP tersebut, sehingga meningkatkan keamanan dan stabilitas bisnis.

    Daftar Putih: Konfigurasikan security group ALB untuk mengizinkan akses hanya dari alamat IP tertentu

    Sebuah perusahaan men-deploy bisnis yang berisi data sensitif pada ALB di suatu wilayah Alibaba Cloud. Untuk membatasi akses ke instans ALB, perusahaan dapat mengonfigurasi aturan security group agar hanya mengizinkan akses dari alamat IP tertentu, seperti 121.XX.XX.12. Permintaan dari alamat IP lainnya akan ditolak.

    Batasan

    Penting

    Instans ALB yang telah ditingkatkan mendukung baik security group maupun access control list (ACL) untuk mengontrol traffic masuk, sedangkan instans ALB yang belum ditingkatkan hanya mendukung ACL. Untuk menggunakan security group, buatlah instans ALB baru atau hubungi account manager Anda untuk meningkatkan instans ALB yang sudah ada.

    Security group kustom untuk instans ALB tunduk pada batasan-batasan berikut:

    • Harus berada di VPC yang sama dengan instans ALB.

    • Jumlah security group kustom yang dapat dikaitkan dengan instans ALB sama dengan kuota security group untuk satu elastic network interface (ENI) instans Elastic Compute Service (ECS) dikurangi 1, yang digunakan oleh security group terkelola.

    • Jumlah aturan yang dapat dikaitkan dengan instans ALB sama dengan kuota aturan untuk satu ENI instans ECS dikurangi jumlah aturan dalam security group terkelola.

    • Satu instans ALB hanya dapat ditambahkan ke satu jenis security group kustom, yaitu dasar atau advanced. Untuk mengubah jenis security group instans ALB Anda, pertama-tama hapus instans tersebut dari semua security group yang terkait, lalu tambahkan ke security group jenis lainnya.

    Prasyarat

    • Virtual private cloud (VPC) bernama VPC1 telah dibuat di wilayah China (Hangzhou). vSwitch bernama VSW1 dibuat di Zona H dan vSwitch lain bernama VSW2 dibuat di Zona I. Untuk informasi selengkapnya, lihat Buat VPC dan vSwitch.

    • Dua instans Elastic Compute Service (ECS) dibuat di VSW1, dan aplikasi dideploy pada ECS01 dan ECS02.

      • Untuk informasi selengkapnya tentang cara membuat instans ECS, lihat Buat instans menggunakan wizard.

      • Perintah berikut menunjukkan cara mendeploy aplikasi pada ECS01 dan ECS02:

        Perintah untuk mendeploy aplikasi pada ECS01

        yum install -y nginx
systemctl start nginx.service
cd /usr/share/nginx/html/
echo "Hello World !  This is ECS01." > index.html

        Perintah untuk mendeploy aplikasi pada ECS02

        yum install -y nginx
systemctl start nginx.service
cd /usr/share/nginx/html/
echo "Hello World !  This is ECS02." > index.html

    • Nama domain telah didaftarkan, dan nomor Internet content provider (ICP) telah diperoleh untuk nama domain tersebut. Untuk informasi selengkapnya, lihat Daftarkan nama domain di Alibaba Cloud dan Ikhtisar.

    Tabel berikut menjelaskan alamat IP klien dan server. Alamat IP ini hanya untuk referensi.

    Kategori

    IP

    Deskripsi

    ECS01 (server)

    • Private: 192.168.10.22

    • Public: tidak ditetapkan

    Server backend instans ALB.

    ECS02 (server)

    • Private: 192.168.10.35

    • Public: tidak ditetapkan

    Client03

    Public: 121.XX.XX.12

    Client yang mengakses instans ALB.

    Client04

    Public: 121.XX.XX.45

    Prosedur

    Langkah 1: Buat server group

    1. Login ke ALB console.

    2. Di bilah navigasi atas, pilih wilayah tempat Anda ingin membuat server group. Dalam contoh ini, China (Hangzhou) dipilih.

    3. Di panel navigasi sebelah kiri, pilih ALB > Server Groups.

    4. Pada halaman Server Groups, klik Create Server Group.

    5. Pada dialog Create Server Group, konfigurasikan parameter dan klik Create.

      Tabel berikut menjelaskan parameter yang relevan dengan topik ini. Anda dapat menggunakan nilai default untuk parameter lainnya. Untuk informasi selengkapnya, lihat Buat dan kelola server group.

      Parameter

      Deskripsi

      Server Group Type

      Tentukan jenis server group. Dalam contoh ini, Server dipilih.

      Server Group Name

      Masukkan nama untuk server group.

      VPC

      Pilih VPC tempat Anda ingin membuat server group. Dalam contoh ini, VPC1 dipilih.

      Backend Server Protocol

      Pilih protokol backend. HTTP dipilih dalam contoh ini.

      Scheduling Algorithm

      Algoritma penjadwalan. Dalam contoh ini, Weighted Round-robin dipilih.

    6. Pada dialog The server group is created, klik Add Backend Server.

    7. Pada tab Backend Servers, klik Add Backend Server.

    8. Pada panel Add Backend Server, pilih ECS01 dan ECS02 lalu klik Next.

    9. Tentukan port dan bobot untuk server backend lalu klik OK.

    Langkah 2: Buat instans ALB dan tambahkan listener

    1. Login ke ALB console.

    2. Pada halaman Instances, klik Create ALB.

    3. Pada halaman pembelian, konfigurasikan parameter berikut.

      Tabel berikut hanya menjelaskan beberapa parameter. Parameter lain menggunakan nilai default. Untuk informasi selengkapnya, lihat Buat dan kelola instans ALB.

      • Region: wilayah tempat Anda ingin membuat instans ALB. Dalam contoh ini, China (Hangzhou) dipilih.

      • Network Type: jenis jaringan instans ALB. Dalam contoh ini, Public dipilih.

      • VPC: VPC tempat Anda ingin membuat instans ALB. Dalam contoh ini, VPC1 dipilih.

    4. Klik Buy Now dan selesaikan pembayaran.

    5. Kembali ke halaman Instances lalu klik ID instans ALB tersebut.

    6. Klik tab Listener lalu klik Quick Create Listener.

    7. Pada dialog Quick Create Listener, konfigurasikan parameter dan klik OK. Dalam contoh ini, listener HTTP yang mendengarkan pada port 80 dibuat. Tabel berikut menjelaskan parameter-parameter tersebut.

      Parameter

      Deskripsi

      Listener Protocol

      Pilih protokol listener. Dalam contoh ini, HTTP dipilih.

      Listener Port

      Masukkan port listener. Dalam contoh ini, 80 ditentukan.

      Server Group

      Pilih jenis server group di daftar drop-down sebelah kiri dan pilih server group dari daftar drop-down sebelah kanan. Dalam contoh ini, server group yang dibuat pada Langkah 1 dipilih.

    Langkah 3: Konfigurasikan rekaman CNAME

    Untuk lingkungan produksi, kami merekomendasikan memetakan nama domain kustom ke nama domain instans ALB dengan membuat rekaman CNAME.

    1. Di panel navigasi sebelah kiri, pilih ALB > Instances.

    2. Pada halaman Instances, salin nama DNS instans ALB yang telah dibuat.

    3. Ikuti langkah-langkah berikut untuk menambahkan rekaman CNAME.

      Catatan

      Jika nama domain Anda didaftarkan oleh penyedia selain Alibaba Cloud, Anda harus menambahkan nama domain tersebut ke Konsol DNS Alibaba Cloud sebelum dapat mengonfigurasi resolusi DNS. Untuk informasi selengkapnya, lihat Kelola nama domain. Jika nama domain Anda didaftarkan di Alibaba Cloud, lanjutkan dengan langkah-langkah berikut.

      1. Login ke Alibaba Cloud DNS console.

      2. Pada halaman Public Zone, temukan nama domain target, lalu klik Settings di kolom Operations.

      3. Pada halaman Settings, klik Add Record.

      4. Pada panel Add Record, konfigurasikan rekaman CNAME dengan mengatur parameter berikut, lalu klik OK.

        Parameter

        Deskripsi

        Record Type

        Pilih CNAME dari daftar drop-down.

        Hostname

        Awalan nama domain Anda. Tutorial ini menggunakan @.

        Catatan

        Untuk menggunakan domain root, atur hostname menjadi @.

        Query Source

        Pilih Default.

        Record Value

        Masukkan nama DNS instans ALB yang telah Anda salin.

        TTL

        Time to live (TTL) adalah durasi rekaman DNS disimpan di cache pada server DNS. Gunakan nilai default.

    Langkah 4: Buat security group

    Buat security group di ECS console. Dalam contoh ini, dua security group dibuat.

    • Gunakan Security Group 1 sebagai daftar hitam

      Tambahkan aturan Deny yang menolak akses dari alamat IP tertentu. Dalam contoh ini, security group yang menolak akses dari alamat IP publik 121.XX.XX.12 dibuat. Anda dapat mempertahankan aturan security group default.

      Action

      Priority

      Protocol Type

      Port Range

      Authorization Object

      Deny

      1

      All

      Destination: -1/-1

      Source: 121.XX.XX.12

    • Gunakan Security Group 2 sebagai daftar putih

      Tambahkan aturan Allow yang mengizinkan akses dari alamat IP tertentu dan aturan Deny yang menolak akses dari alamat IP lainnya. Dalam contoh ini, aturan Allow yang mengizinkan akses dari alamat IP publik 121.XX.XX.12 dan aturan Deny dibuat.

      Action

      Priority

      Protocol Type

      Port Range

      Authorization Object

      Allow

      1

      All

      Destination: -1/-1

      Source: 121.XX.XX.12

      Deny

      100

      All

      Destination: -1/-1

      Source: 0.0.0.0/0

    1. Login ke ECS console.

    2. Di panel navigasi sebelah kiri, pilih Network & Security > Security Group.

    3. Di bilah navigasi atas, pilih wilayah tempat Anda ingin membuat security group. Dalam contoh ini, China (Hangzhou) dipilih.

    4. Pada halaman Security Groups, klik Create Security Group.

    5. Pada halaman Create Security Group, atur parameter pada bagian Basic Information.

      Tentukan parameter berikut. Untuk informasi selengkapnya tentang parameter lainnya, lihat Security groups.

      • Network: Dalam contoh ini, VPC dipilih.

      • Security Group Type: Dalam contoh ini, Basic Security Group dipilih.

    6. Pada halaman Create Security Group, atur parameter pada bagian Rules.

      1. Klik Add Rule untuk menambahkan aturan berdasarkan konfigurasi aturan pada Security Group 1 dan Security Group 2.

      2. Klik OK.

    Langkah 5: Uji kontrol akses sebelum instans ALB ditambahkan ke security group

    Gunakan Client03 dan Client04 untuk menguji ketersediaan ECS01 dan ECS02.

    1. Login ke Client03 dan jalankan perintah curl http://Custom domain name. Paket Hello World! This is ECS01. dikembalikan. Paket ini menunjukkan bahwa Client03 dapat mengakses instans ALB.

    2. Login ke Client04 dan jalankan perintah curl http://Custom domain name. Paket Hello World! This is ECS02. dikembalikan, yang menunjukkan bahwa Client04 dapat mengakses instans ALB.

    Langkah 6: Tambahkan instans ALB ke security group dan verifikasi hasilnya

    Gunakan Security Group 1 sebagai daftar hitam

    Tambahkan instans ALB ke Security Group 1 yang dibuat pada Langkah 4: Buat security group untuk menguji apakah aturan pada Security Group 1 berlaku pada instans ALB.

    1. Login ke ALB console.

    2. Di bilah navigasi atas, pilih wilayah instans ALB. Dalam contoh ini, China (Hangzhou) dipilih.

    3. Pada halaman Instances, klik ID instans ALB yang ingin Anda kelola. Pada halaman detail instans, klik tab Security Groups.

    4. Pada tab Security Groups, klik Create Security Group. Pada dialog Add ALB to Security Group, pilih Security Group 1 yang dibuat pada Langkah 4: Buat security group lalu klik OK.

    5. Di panel sebelah kiri, klik ID security group yang ingin Anda kelola. Anda dapat mengklik tab Inbound atau Outbound untuk melihat aturan security group.

      Tabel berikut hanya menjelaskan aturan security group inbound yang relevan dengan topik ini.

      Action

      Priority

      Protocol Type

      Port Range

      Authorization Object

      Deny

      1

      All

      Destination: -1/-1

      Source: 121.XX.XX.12

    6. Tambahkan instans ALB ke security group dan uji hasilnya.

      1. Login ke Client03 dan jalankan perintah curl http://Custom domain name. Respons diterima seperti di bawah ini, yang menunjukkan bahwa akses dari Client03 ditolak oleh instans ALB.

        [root@xxx /]# curl http://xxx.xxx.xxx
curl: (7) Failed connect to xxx.xxx.xxx:80; Connection timed out

      2. Login ke Client04 dan jalankan perintah curl http://Custom domain name. Paket Hello World! This is ECS01. dikembalikan. Paket ini menunjukkan bahwa Client04 dapat mengakses instans ALB.

    Hasil menunjukkan bahwa setelah instans ALB ditambahkan ke Security Group 1 yang berfungsi sebagai daftar hitam, aturan Deny pada Security Group 1 menolak akses dari alamat IP tertentu ke instans ALB. Alamat IP yang tidak ditentukan dalam aturan Deny tetap dapat mengakses instans ALB.

    Gunakan Security Group 2 sebagai daftar putih

    Tambahkan instans ALB ke Security Group 2 yang dibuat pada Langkah 4: Buat security group dan uji apakah aturan pada Security Group 2 berlaku pada instans ALB.

    1. Login ke ALB console.

    2. Di bilah navigasi atas, pilih wilayah instans ALB. Dalam contoh ini, China (Hangzhou) dipilih.

    3. Pada halaman Instances, klik ID instans ALB yang ingin Anda kelola. Pada tab Instance Details, klik tab Security Groups.

    4. Pada tab Security Groups, klik Create Security Group. Pada dialog Add ALB to Security Group, pilih Security Group 2 yang dibuat pada Langkah 4: Buat security group lalu klik OK.

    5. Di panel sebelah kiri, klik ID security group yang ingin Anda kelola. Anda dapat mengklik tab Inbound atau Outbound untuk melihat aturan security group.

      Tabel berikut hanya menjelaskan parameter yang relevan dengan topik ini.

      Action

      Priority

      Protocol Type

      Port Range

      Authorization Object

      Yes

      1

      All

      Destination: -1/-1

      Source: 121.XX.XX.12

      Deny

      100

      All

      Destination: -1/-1

      Source: All IPv4 Addresses (0.0.0.0/0)

    6. Tambahkan instans ALB ke security group dan uji hasilnya.

      1. Login ke Client03 dan jalankan perintah curl http://Custom domain name. Paket Hello World! This is ECS01. dikembalikan. Paket ini menunjukkan bahwa Client03 dapat mengakses instans ALB.

      2. Login ke Client04 dan jalankan perintah curl http://Custom domain name. Respons diterima seperti di bawah ini. Paket ini menunjukkan bahwa akses dari Client04 ditolak oleh instans ALB.

        [root@xxx ~]# curl http://xxx
curl: (7) Failed connect to xxx:80; Connection timed out

    Hasil pengujian menunjukkan bahwa setelah instans ALB ditambahkan ke Security Group 2 yang berfungsi sebagai daftar putih, hanya alamat IP dalam aturan Allow yang dapat mengakses instans ALB.

    Blokir permintaan Ping ke ALB menggunakan security group

    Security group pada instans ALB yang telah ditingkatkan mendukung protokol ICMP. Mengikuti metode konfigurasi aturan security group yang dijelaskan sebelumnya dalam topik ini, tambahkan aturan Deny pada arah Inbound security group yang terkait, dengan Protocol Type diatur ke All ICMP-IPv4 dan Access Source diatur ke 0.0.0.0/0 untuk memblokir permintaan Ping ke instans ALB.

    Catatan

    Jika Anda menggunakan instans yang dibuat sebelum 25 Februari 2025 yang belum ditingkatkan, instans tersebut tidak mendukung security group. Untuk memblokir permintaan Ping, Anda dapat menghubungkan EIP yang terkait dengan instans tersebut ke Internet firewall, dan konfigurasikan kebijakan deny ICMP inbound pada firewall tersebut untuk mencapai efek kontrol akses yang serupa.

    Bagaimana cara mengetahui instans ALB mana yang dimiliki oleh security group terkelola?

    Pada halaman Security Groups di ECS console, atur filter jenis security group ke Cloud product-managed security group, lalu temukan security group yang namanya diawali dengan ALB_SYSTEM_SECURITY_GROUP-. Nama dan deskripsinya mengikuti format ALB_SYSTEM_SECURITY_GROUP-{ALB Instance ID}, di mana ID instans mengidentifikasi instans ALB yang membuat security group tersebut.

    Referensi

    Dokumentasi Konsol

    Referensi

    Konsol

    API