All Products
Search

This Product

    Server Load Balancer:Kontrol akses tingkat listener dengan grup keamanan ALB

    Document Center

    Server Load Balancer:Kontrol akses tingkat listener dengan grup keamanan ALB

    Last Updated:Mar 24, 2026

    Konfigurasikan grup keamanan untuk instans Application Load Balancer (ALB) guna mengontrol akses ke lalu lintas ingress berdasarkan protokol, port, dan alamat IP. Grup keamanan menyediakan kontrol akses yang lebih komprehensif dibandingkan Access Control List (ACL) karena juga mendukung alamat IPv6.

    Skenario

      Tiga skenario berikut menunjukkan bagaimana grup keamanan terkait mengontrol akses tingkat port ke instans ALB. Contoh ini menggunakan instans ALB dengan dua listener: satu pada HTTP port 80 dan satu lagi pada HTTP port 81.

      Skenario

      Aturan grup keamanan

      Hasil yang diharapkan

      Referensi

      Instans ALB tidak dikaitkan dengan grup keamanan

      Secara default, ALB mengizinkan semua permintaan ke listener-nya.

      • Klien dapat mengakses instans ALB pada HTTP port 80.

      • Klien dapat mengakses instans ALB pada HTTP port 81.

      Langkah 5: Verifikasi hasil sebelum mengaitkan ALB dengan grup keamanan

      Instans ALB dikaitkan dengan grup keamanan

      Tolak akses pada HTTP port 81.

      Catatan

      Hanya aturan grup keamanan yang relevan dengan topik ini yang ditampilkan. Aturan default lainnya tidak ditunjukkan.

      • Klien dapat mengakses instans ALB pada HTTP port 80.

      • Klien tidak dapat mengakses instans ALB pada HTTP port 81.

      Langkah 6: Kaitkan instans ALB dengan grup keamanan dan verifikasi hasilnya

      Memodifikasi grup keamanan yang dikaitkan

      • Tolak akses pada HTTP port 80.

      • Tolak akses pada HTTP port 81.

      Catatan

      Hanya aturan grup keamanan yang relevan dengan topik ini yang ditampilkan. Aturan default lainnya tidak ditunjukkan.

      • Klien tidak dapat mengakses instans ALB pada HTTP port 80.

      • Klien tidak dapat mengakses instans ALB pada HTTP port 81.

      Langkah 7: Modifikasi grup keamanan dan verifikasi hasilnya

      Prasyarat

      • Anda telah membuat Virtual Private Cloud (VPC) bernama VPC1. Untuk informasi selengkapnya, lihat Buat dan kelola VPC.

      • Anda telah membuat dua instans Elastic Compute Service (ECS), ECS01 dan ECS02, di dalam VPC1. Instans ini berfungsi sebagai server backend untuk instans ALB, masing-masing menjalankan aplikasi yang berbeda.

        • Untuk mempelajari cara membuat instans ECS, lihat Launch kustom instans ECS.

          Jika Anda ingin menguji kontrol akses ALB untuk lalu lintas IPv6 menggunakan grup keamanan, pastikan ECS01 dan ECS02 mendukung IPv6.

        • Contoh berikut menunjukkan cara men-deploy aplikasi uji pada ECS01 dan ECS02:

          Perintah untuk men-deploy aplikasi pada ECS01

          yum install -y nginx
systemctl start nginx.service
cd /usr/share/nginx/html/
echo "Hello World ! This is ECS01." > index.html

          Perintah untuk men-deploy aplikasi pada ECS02

          yum install -y nginx
systemctl start nginx.service
cd /usr/share/nginx/html/
echo "Hello World ! This is ECS02." > index.html

      Langkah-langkah

      Langkah 1: Buat grup server

      1. Masuk ke Konsol ALB.

      2. Pada bilah navigasi atas, pilih wilayah tempat grup server berada. Topik ini menggunakan China (Hangzhou) sebagai contoh.

      3. Pada panel navigasi kiri, pilih ALB > Server Groups.

      4. Pada halaman Server Groups, klik Create Server Group.

      5. Pada dialog Create Server Group, konfigurasikan parameter berikut lalu klik Create.

        Bagian ini hanya menjelaskan parameter yang relevan. Gunakan nilai default untuk parameter lainnya. Untuk informasi selengkapnya, lihat Buat dan kelola grup server.

        Parameter

        Deskripsi

        Server Group Type

        Pilih tipe grup server. Untuk topik ini, pilih Server.

        Server Group Name

        Masukkan nama untuk grup server.

        VPC

        Pilih Virtual Private Cloud (VPC) tempat grup server dideploy. Pada topik ini, pilih VPC1.

        Backend Server Protocol

        Pilih protokol untuk server backend. Untuk topik ini, pilih HTTP.

        Scheduling Algorithm

        Pilih algoritma penjadwalan. Untuk topik ini, pilih Weighted Round-robin.

      6. Saat pesan The server group is created muncul, klik Add Backend Server.

      7. Pada tab Backend Servers, klik Add Backend Server.

      8. Pada panel Add Backend Server, pilih instans ECS01 dan ECS02 yang telah Anda buat, lalu klik Next.

      9. Atur port dan bobot untuk server yang ditambahkan, lalu klik OK.

      Langkah 2: Buat instans ALB dan konfigurasikan listener

      1. Masuk ke Konsol ALB.

      2. Pada halaman Instances, klik Create ALB.

      3. Pada halaman pembelian, konfigurasikan parameter berikut.

        Bagian ini hanya menjelaskan parameter yang relevan. Gunakan nilai default untuk parameter lainnya. Untuk informasi selengkapnya, lihat Buat instans ALB.

        • Region: Untuk topik ini, pilih China (Hangzhou).

        • Network Type: Untuk topik ini, pilih Public.

        • VPC: Untuk topik ini, pilih VPC1.

        • IP Version: Nilai default adalah IPv4. Untuk mengizinkan klien mengakses instans ALB menggunakan alamat IPv4 dan IPv6, pilih Dual-stack.

      4. Klik Buy Now dan ikuti petunjuk di layar untuk menyelesaikan pembayaran.

      5. Kembali ke halaman Instances, temukan instans ALB yang telah Anda buat, lalu klik ID instans tersebut.

      6. Klik tab Listener, lalu klik Quick Create Listener.

      7. Pada wizard Quick Create Listener, atur parameter berikut untuk listener HTTP pada port 80, lalu klik OK.

        Parameter

        Deskripsi

        Listener Protocol

        Pilih protokol untuk listener. Untuk topik ini, pilih HTTP.

        Listener Port

        Tentukan port listener. Pada topik ini, masukkan 80.

        Server Group

        Di bawah Server, pilih grup server target. Pada topik ini, digunakan grup server yang sudah ada.

      8. Pada tab Listener, klik Quick Create Listener.

      9. Pada wizard Quick Create Listener, atur parameter berikut untuk listener HTTP pada port 81, lalu klik OK.

        Parameter

        Deskripsi

        Listener Protocol

        Pilih protokol untuk listener. Untuk topik ini, pilih HTTP.

        Listener Port

        Tentukan port listener. Pada topik ini, masukkan 81.

        Server Group

        Di bawah Server, pilih grup server target. Topik ini menggunakan grup server yang sudah ada.

      Langkah 3: Konfigurasikan rekaman DNS

      Dalam lingkungan produksi, kami merekomendasikan agar Anda memetakan nama domain Anda sendiri ke nama DNS instans ALB dengan membuat Rekaman CNAME.

      1. Pada panel navigasi kiri, pilih ALB > Instances.

      2. Pada halaman Instances, salin nama DNS dari instans ALB yang telah Anda buat.

      3. Untuk menambahkan Rekaman CNAME, ikuti langkah-langkah berikut.

        Catatan

        Jika nama domain Anda tidak didaftarkan di Alibaba Cloud, Anda harus terlebih dahulu menambahkannya ke konsol DNS Alibaba Cloud sebelum dapat mengonfigurasi rekaman DNS. Untuk informasi selengkapnya, lihat Kelola nama domain. Jika nama domain Anda didaftarkan di Alibaba Cloud, lanjutkan dengan langkah-langkah berikut.

        1. Masuk ke Konsol DNS Alibaba Cloud.

        2. Pada halaman Authoritative DNS Resolution, temukan nama domain target, lalu klik Settings pada kolom Operations.

        3. Pada halaman Settings, klik Add Record.

        4. Pada panel Add Record, konfigurasikan parameter berikut untuk membuat Rekaman CNAME, lalu klik OK.

          Parameter

          Deskripsi

          Record Type

          Pilih CNAME dari daftar dropdown.

          Hostname

          Awalan untuk nama domain Anda. Topik ini menggunakan @.

          Catatan

          Untuk domain root, atur hostname menjadi @.

          Query Source

          Pilih Default.

          Record Value

          Masukkan alamat CNAME untuk nama domain, yaitu nama DNS dari instans ALB yang telah Anda salin.

          TTL

          Time To Live (TTL) adalah durasi rekaman DNS disimpan dalam cache di server DNS. Topik ini menggunakan nilai default.

      Langkah 4: Buat grup keamanan

      Sebelum Anda dapat mengaitkan instans ALB dengan grup keamanan, Anda harus membuat grup keamanan di Konsol Elastic Compute Service (ECS).

      1. Masuk ke Konsol ECS.

      2. Pada panel navigasi kiri, pilih Network & Security > Security Groups.

      3. Pada bilah navigasi atas, pilih wilayah tempat Anda ingin membuat grup keamanan. Untuk topik ini, dipilih China (Hangzhou).

      4. Pada halaman Security Groups, klik Create Security Group.

      5. Pada halaman Create Security Group, atur parameter pada bagian Basic Configurations.

        Bagian ini hanya menjelaskan parameter yang relevan. Untuk informasi selengkapnya tentang parameter lainnya, lihat Buat grup keamanan.

        • VPC: Untuk topik ini, pilih VPC yang telah Anda buat.

        • Security group type: Untuk topik ini, pilih Basic Security Group.

      6. Konfigurasikan aturan masuk untuk grup keamanan baru.

        1. Pada tab Inbound Rules, klik Add Rule dua kali.

        2. Tambahkan aturan seperti yang dijelaskan dalam tabel berikut, lalu klik Create Security Group.

          Parameter

          Aturan 1: Tolak semua akses ke port 81

          (Opsional) Aturan 2: Izinkan akses IPv6 ke port 80

          Action

          Pilih Deny.

          Pilih Allow.

          Priority

          Pertahankan prioritas default 1.

          Protocol Type

          Pilih Custom TCP.

          Catatan

          Jika Anda mengonfigurasi aturan grup keamanan untuk listener QUIC, pilih Custom UDP untuk Protocol Type.

          Port Range

          Masukkan port 81.

          Pilih port 80.

          Source

          Pilih All IPv4 (0.0.0.0/0) dan All IPv6 (::/0).

          Pilih All IPv6 (::/0).

          Description

          Masukkan deskripsi untuk aturan grup keamanan.

      Langkah 5: Verifikasi konektivitas sebelum pengaitan

      Uji konektivitas ke instans ALB.

      Topik ini menggunakan klien dengan akses jaringan publik sebagai contoh. Jika Anda ingin menguji kontrol akses untuk lalu lintas IPv6, pastikan klien mendukung komunikasi IPv6 publik.

      1. Buka antarmuka baris perintah dan jalankan perintah curl -4 http://<your_domain_name>:80. Output pada gambar berikut menunjukkan bahwa klien IPv4 dapat mengakses instans ALB melalui HTTP pada port 80.

        未加入安全组-IPv4访问80

      2. Jalankan perintah curl -4 http://<your_domain_name>:81. Output pada gambar berikut menunjukkan bahwa klien IPv4 dapat mengakses instans ALB melalui HTTP pada port 81.

        未加入安全组-IPv4访问81

      3. (Opsional) Jalankan perintah curl -6 http://<your_domain_name>:80. Output pada gambar berikut menunjukkan bahwa klien IPv6 dapat mengakses instans ALB melalui HTTP pada port 80.

        未加入安全组-IPv6访问80

      4. (Opsional) Jalankan perintah curl -6 http://<your_domain_name>:81. Output pada gambar berikut menunjukkan bahwa klien IPv6 dapat mengakses instans ALB melalui HTTP pada port 81.

        未加入安全组-IPv6访问81

      Langkah 6: Kaitkan grup keamanan dan verifikasi hasilnya

      Kaitkan instans ALB dengan grup keamanan dan verifikasi bahwa aturan kontrol akses tingkat port berlaku.

      1. Masuk ke Konsol ALB.

      2. Pada halaman Instances, temukan instans ALB target, klik ID instans tersebut, lalu klik tab Security Groups.

      3. Pada tab Security Groups, klik Create Security Group. Pada dialog Add ALB to Security Group, pilih grup keamanan yang telah Anda buat di Langkah 4: Buat grup keamanan, lalu klik OK.

      4. Pada daftar di sebelah kiri, klik ID grup keamanan target. Anda kemudian dapat mengklik tab Inbound Policies atau Outbound Policies untuk melihat aturan grup keamanan.

        Aturan inbound security group yang relevan sekarang adalah sebagai berikut:

        Action

        Priority

        Protocol type

        Port range

        Source

        Allow

        1

        Custom TCP

        Destination: 80/80

        Source: All IPv4 (0.0.0.0/0)

        Allow

        1

        Custom TCP

        Destination: 80/80

        Source: All IPv6(::/0)

        Deny

        1

        Custom TCP

        Destination: 81/81

        Source: All IPv4 (0.0.0.0/0)

        Deny

        1

        Custom TCP

        Destination: 81/81

        源：所有IPv6(::/0)

      5. Setelah mengaitkan instans ALB dengan grup keamanan, uji hasil aksesnya.

        1. Pada antarmuka baris perintah klien, jalankan perintah curl -4 http://<your_domain_name>:80. Output pada gambar berikut menunjukkan bahwa klien IPv4 dapat mengakses instans ALB melalui HTTP pada port 80.

          加入安全组-IPv4访问80

        2. (Opsional) Jalankan perintah curl -6 http://<your_domain_name>:80. Output pada gambar berikut menunjukkan bahwa klien IPv6 dapat mengakses instans ALB melalui HTTP pada port 80.

          加入安全组-IPv6访问80

        3. Jalankan perintah curl -4 http://<your_domain_name>:81. Output pada gambar berikut menunjukkan bahwa klien IPv4 tidak dapat mengakses instans ALB melalui HTTP pada port 81. Hal ini mengonfirmasi bahwa kontrol akses grup keamanan untuk port 81 telah berlaku.

          加入安全组-IPv4访问81

        4. (Opsional) Jalankan perintah curl -6 http://<your_domain_name>:81. Output pada gambar berikut menunjukkan bahwa klien IPv6 tidak dapat mengakses instans ALB melalui HTTP pada port 81. Hal ini mengonfirmasi bahwa kontrol akses grup keamanan untuk port 81 telah berlaku.

          加入安全组-IPv6访问81

      Langkah 7: Modifikasi grup keamanan dan verifikasi hasilnya

      Modifikasi aturan grup keamanan dan verifikasi bahwa perubahan tersebut berlaku.

      1. Kembali ke halaman Instances ALB, temukan instans ALB target, lalu klik ID instans tersebut. Pada tab Instance Details, klik tab Security Groups.

      2. Klik ID grup keamanan pada bagian Basic Information, atau klik ECS Console di pojok kanan atas tab Security Groups untuk menuju halaman Security Group Rules dan memodifikasi aturan grup keamanan.

      3. Pada halaman Security Group Details, temukan aturan yang mengizinkan akses ke TCP port 80. Pada kolom Actions, klik Modify, ubah Action menjadi Deny, lalu klik Save.

        Aturan grup keamanan yang dimodifikasi adalah sebagai berikut:

        Action

        Priority

        Protocol type

        Port range

        Source

        Deny

        1

        Custom TCP

        Destination: 80/80

        Source: All IPv4 (0.0.0.0/0)

        Deny

        1

        Custom TCP

        Destination: 80/80

        Source: All IPv6 (::/0)

        Deny

        1

        Custom TCP

        Destination: 81/81

        Source: All IPv4 (0.0.0.0/0)

        Deny

        1

        Custom TCP

        Destination: 81/81

        Source: All IPv6(::/0)

      4. Setelah memodifikasi aturan grup keamanan, uji hasil aksesnya.

        1. Pada antarmuka baris perintah klien, jalankan perintah curl -4 http://<your_domain_name>:80. Jika koneksi gagal seperti yang ditunjukkan pada gambar berikut, hal ini mengonfirmasi bahwa kontrol akses grup keamanan untuk port 80 telah berlaku.

          修改安全组-IPv4访问80

        2. (Opsional) Jalankan perintah curl -6 http://<your_domain_name>:80. Jika koneksi gagal seperti yang ditunjukkan pada gambar berikut, hal ini mengonfirmasi bahwa kontrol akses grup keamanan untuk port 80 telah berlaku.

          修改安全组-IPv6访问80

        3. Jalankan perintah curl -4 http://<your_domain_name>:81. Jika koneksi gagal seperti yang ditunjukkan pada gambar berikut, hal ini mengonfirmasi bahwa kontrol akses grup keamanan untuk port 81 masih berlaku.

          修改安全组-IPv4访问81

        4. (Opsional) Jalankan perintah curl -6 http://<your_domain_name>:81. Jika koneksi gagal seperti yang ditunjukkan pada gambar berikut, hal ini mengonfirmasi bahwa kontrol akses grup keamanan untuk port 81 masih berlaku.

          修改安全组-IPv6访问81

      Dokumentasi terkait

      Konsol

      API