Comparison of basic and advanced security groups - Elastic Compute Service: Central de Documentação do Alibaba Cloud

Nota

Ao associar uma instância ECS ou uma interface de rede elástica a vários grupos de segurança, todos os grupos devem ser do mesmo tipo. Não é possível combinar grupos de segurança básicos e avançados em um único recurso.

Capacidade de endereços IP privados

Ao associar recursos como instâncias ECS, interfaces de rede elásticas ou instâncias ECI a um grupo de segurança, os endereços IP privados desses recursos contam para a capacidade do grupo.

A tabela a seguir compara os dois tipos.

Tipo de grupo de segurança	Capacidade de IP privado
Grupo de segurança básico	VPC: 6.000 Nota O uso da capacidade corresponde ao número total de endereços IP privados em todas as ENIs associadas (primárias e secundárias), incluindo IPv4 privado primário, IPv6, IPv4 privado secundário, prefixos IPv4 e prefixos IPv6. Caso precise de mais de 6.000 endereços IP privados para comunicação pela rede interna, atribua as instâncias ECS a vários grupos de segurança e adicione regras que autorizem o acesso mútuo. Visualize a contagem máxima de endereços IP privados para um grupo de segurança básico em uma VPC no Quota Center com o ID de cota `q_vpc-normal-security-group-ip-count`.
Grupo de segurança avançado	VPC: 65.536 Nota O uso da capacidade baseia-se no número total de ENIs (primárias e secundárias) associadas ao grupo de segurança.

Um grupo de segurança avançado suporta mais recursos do que um grupo de segurança básico em uma VPC. Utilize grupos de segurança avançados para clusters grandes que excedam a capacidade de IP do grupo básico.

Para visualizar o uso de endereços IP de um grupo de segurança, acesse o console ECS ou chame uma operação de API.

Autorização baseada em grupo

Uma regra de grupo de segurança pode autorizar o acesso de ou para outro grupo de segurança referenciando seu ID.

Tipo de grupo de segurança	Autorização por grupo	Descrição
Grupo de segurança básico	Sim	As regras podem autorizar outros grupos de segurança básicos, até o limite de 20 regras desse tipo. Consulte Limites de grupos de segurança.
Grupo de segurança avançado	Não	As regras não podem usar um grupo de segurança como objeto de autorização. Um grupo de segurança avançado também não pode servir como objeto de autorização nas regras de outros grupos.

Conectividade interna

Em um grupo de segurança básico, as instâncias no mesmo grupo podem acessar umas às outras pela rede interna por padrão. Para alterar esse comportamento, modifique a política de acesso interno. Em um grupo de segurança avançado, as instâncias ficam isoladas por padrão e essa política não pode ser alterada.

Tipo de grupo de segurança	Política de acesso interno
Grupo de segurança básico	Configurável. Padrão: Internal Interconnectivity. Nota Para restringir a comunicação entre instâncias, modifique a política de acesso interno no console ECS. Consulte Modificar a política de acesso interno de um grupo de segurança básico.
Grupo de segurança avançado	Não configurável. Fixo: Internal Isolation.

Regras padrão de controle de acesso

Grupos de segurança básicos e avançados aplicam regras padrão de controle de acesso diferentes. Para grupos de segurança básicos, a política de acesso interno determina as regras de entrada padrão. Essas regras padrão invisíveis se combinam com suas regras personalizadas para controlar o tráfego.

Nota

Nas tabelas a seguir, as regras são avaliadas em ordem decrescente de prioridade (1, 2, 3...).

Grupo de segurança básico

Conectividade interna

Entrada

Com a conectividade interna, o tráfego proveniente de outras instâncias no mesmo grupo é permitido por padrão (Prioridade 1), substituindo as regras personalizadas. O tráfego correspondente a uma regra personalizada é permitido ou negado conforme a ação da regra (Prioridade 2). Todo o restante do tráfego é negado (Prioridade 3).

Prioridade	Tipo de regra	Tipo de tráfego	Ação
1	Regra padrão de controle de acesso (invisível)	Tráfego de outras instâncias ECS no mesmo grupo de segurança	Permitir
2	Regra personalizada	Tráfego correspondente a uma regra personalizada	Permitir ou Negar (dependendo da ação da regra)
3	Regra padrão de controle de acesso (invisível)	Todo o restante do tráfego	Negar

Saída

O tráfego correspondente a uma regra personalizada é permitido ou negado conforme a ação da regra (Prioridade 1). Todo o restante do tráfego de saída é permitido por padrão (Prioridade 2).

Prioridade	Tipo de regra	Tipo de tráfego	Ação
1	Regra personalizada	Tráfego correspondente a uma regra personalizada	Permitir ou Negar (dependendo da ação da regra)
2	Regra padrão de controle de acesso (invisível)	Todo o restante do tráfego	Permitir

Isolamento interno

Entrada

Com o isolamento interno, o tráfego de entrada correspondente a uma regra personalizada é permitido ou negado conforme a ação da regra (Prioridade 1). Todo o restante do tráfego de entrada é negado (Prioridade 2).

Prioridade	Tipo de regra	Tipo de tráfego	Ação
1	Regra personalizada	Tráfego correspondente a uma regra personalizada	Permitir ou Negar (dependendo da ação da regra)
2	Regra padrão de controle de acesso (invisível)	Todo o restante do tráfego	Negar

Saída:

As regras de saída seguem o mesmo comportamento da conectividade interna.

Prioridade	Tipo de regra	Tipo de tráfego	Ação
1	Regra personalizada	Tráfego correspondente a uma regra personalizada	Permitir ou Negar (dependendo da ação da regra)
2	Regra padrão de controle de acesso (invisível)	Todo o restante do tráfego	Permitir

A política de acesso interno afeta as regras de entrada padrão de um grupo de segurança básico. Com a conectividade interna, o tráfego de outras instâncias no mesmo grupo é permitido por padrão. Como prática recomendada, defina a política como isolamento interno caso as instâncias não precisem se comunicar entre si.

Grupo de segurança avançado

Entrada:

O tráfego de entrada correspondente a uma regra personalizada é permitido ou negado conforme a ação da regra (Prioridade 1). Todo o restante do tráfego de entrada é negado por padrão (Prioridade 2).

Prioridade	Tipo de regra	Tipo de tráfego	Ação
1	Regra personalizada	Tráfego correspondente a uma regra personalizada	Permitir ou Negar (dependendo da ação da regra)
2	Regra padrão de controle de acesso (invisível)	Todo o restante do tráfego	Negar

Saída:

O tráfego de saída correspondente a uma regra personalizada é permitido ou negado conforme a ação da regra (Prioridade 1). Todo o restante do tráfego de saída é negado por padrão (Prioridade 2).

Prioridade	Tipo de regra	Tipo de tráfego	Ação
1	Regra personalizada	Tráfego correspondente a uma regra personalizada	Permitir ou Negar (dependendo da ação da regra)
2	Regra padrão de controle de acesso (invisível)	Todo o restante do tráfego	Negar