Elastic Compute Service:Security group rules

Uma regra de grupo de segurança personalizada consiste nos seguintes componentes:

• Protocol type: O protocolo de rede a ser correspondido. Suporta dois tipos de valor:

  • Nome do protocolo: TCP, UDP, ICMPv4, ICMPv6 e GRE.

  • Número do protocolo IP: Um número inteiro de 0 a 255 de acordo com os padrões da IANA. Por exemplo, 6 para TCP, 17 para UDP, 1 para ICMPv4, 58 para ICMPv6 e 47 para GRE.

    Regiões que suportam a definição de números de protocolo

    Region name	Region ID
    China (Hohhot)	cn-huhehaote
    China (Qingdao)	cn-qingdao
    Philippines (Manila)	ap-southeast-6
    UK (London)	eu-west-1
    Malaysia (Kuala Lumpur)	ap-southeast-3
    US (Silicon Valley)	us-west-1
    Singapore	ap-southeast-1

• Port range: A porta de destino. Especifique um único intervalo de portas ou uma lista de portas.

  • Intervalo de porta única: Para TCP e UDP, especifique um intervalo separado por uma barra (/), como 8000/9000 ou 22/22. Para outros protocolos, defina como -1/-1. Consulte Common ports.

  • Lista de portas: Uma coleção de portas. A regra consome entradas de cota iguais à capacidade máxima da lista de portas, e não à contagem real de portas. O tipo de protocolo deve ser TCP ou UDP. Consulte Overview of port lists.

• Authorization object: A source do tráfego (entrada) ou destino (saída). Especifique um bloco CIDR, endereço IP, grupo de segurança ou lista de prefixos.

  • Endereço IPv4: Por exemplo, 192.168.0.100.

  • Bloco CIDR IPv4: Por exemplo, 192.168.0.0/24.

  • Endereço IPv6: Por exemplo, 2408:4321:180:1701:94c7:bc38:3bfa:9. O sistema normaliza endereços IPv6, como 2408:180:0000::1 para 2408:180::1.

  • Bloco CIDR IPv6: Por exemplo, 2408:4321:180:1701::/64. O sistema normaliza blocos CIDR IPv6, como 2408:4321:180:0000::/64 para 2408:4321:180::/64.

  • ID do grupo de segurança: Conceda acesso a um grupo de segurança na sua conta ou em outra conta. O sistema corresponde o tráfego pelos endereços IP privados das instâncias ECS no grupo de destino. Por exemplo, conceder acesso ao grupo de segurança A permite o tráfego proveniente dos endereços IP privados das instâncias no grupo A.

  • ID da lista de prefixos: Uma coleção de blocos CIDR. A regra consome entradas de cota iguais à capacidade máxima da lista de prefixos, e não à contagem real de blocos CIDR. Consulte Overview of prefix lists.

• Authorization policy: A ação a ser aplicada ao tráfego correspondente — Allow ou Deny.

• Priority: Um valor de 1 a 100. Um valor menor indica uma prioridade maior. As regras são classificadas primeiro por prioridade e, em seguida, pela política de autorização. Consulte Custom rule matching policy.

• Rule direction: Inbound (tráfego de entrada) ou outbound (tráfego de saída).

• NIC type: Em uma VPC, as regras controlam o acesso à rede pública e interna.

• Rule ID: Um ID exclusivo gerado pelo sistema para cada regra. Use este ID e modifique, ative ou exclua a regra.

Uma instância ECS pode pertencer a um ou mais grupos de segurança. Para determinar se o tráfego (usando o tráfego de entrada como exemplo) é permitido, a política de correspondência envolve a correspondência de regra única, bem como a classificação de múltiplas regras e a correspondência sequencial:

Correspondência de regra única

Quando o tráfego chega a uma instância ECS, o sistema compara o tipo de protocolo, o intervalo de portas e o objeto de autorização (IP de source/destino) do tráfego com cada regra personalizada. Uma correspondência é encontrada somente quando todas as três condições são atendidas. Após a correspondência, o sistema executa a ação da regra (permitir ou negar) e para de verificar as regras subsequentes.

Classificação de múltiplas regras e correspondência sequencial

Como uma instância ECS pode pertencer a vários grupos de segurança, o sistema classifica todas as regras de entrada na seguinte ordem antes de realizar a correspondência:

1. Primeiro, as regras com valores de prioridade menores são verificadas primeiro (por exemplo, a prioridade 1 é verificada antes da prioridade 100).

2. Em seguida, no mesmo nível de prioridade, as regras de negação (Drop) são colocadas antes das regras de permissão (Accept).

O tráfego é correspondido sequencialmente de cima para baixo na lista de regras classificadas. Assim que a primeira regra correspondente é atingida, sua ação é executada e a verificação é interrompida. Se nenhuma regra personalizada corresponder, as regras padrão de controle de acesso do grupo de segurança serão aplicadas.

Além das regras personalizadas de grupo de segurança, os grupos de segurança possuem regras implícitas padrão de controle de acesso que afetam se o tráfego é permitido ou negado. Consulte Basic and enterprise security groups.

No console, as regras de grupo de segurança consistem nos seguintes componentes por padrão:

• Regra de entrada: endereço IP de source, porta de destino e tipo de protocolo.

• Regra de saída: endereço IP de destino, porta de destino e tipo de protocolo.

Para um controle mais preciso, use uma API e configure regras de quíntupla. As regras de quíntupla são totalmente compatíveis com as regras existentes e exigem cinco campos: endereço IP de source, porta de source, endereço IP de destino, porta de destino e tipo de protocolo.

Ao especificar o IP de destino (entrada) ou IP de source (saída) para uma instância ECS específica, use seu endereço IP privado, e não o IP público ou EIP. Os IPs públicos e EIPs são endereços IP NAT nos gateways da Alibaba Cloud. Os grupos de segurança operam na interface de rede elástica e controlam o tráfego por IP privado.

Source IP address: 172.16.1.0/32
Source port: 22
Destination IP address: 10.0.0.1/32
Destination port: Unrestricted
Protocol type: TCP