本頁目錄

您可以新增安全組規則，允許或禁止安全組內的ECS例項對公網或私網的訪問：

• VPC網路：只需要設定出方向或入方向的規則，不區分內網和公網。專有網路（VPC）例項的公網訪問通過私網網絡卡對映完成，所以，您在例項內部看不到公網網絡卡，在安全組裡也只能設定內網規則。您設定的安全組規則同時對內網和公網生效。
• 經典網路：需要分別設定公網或內網的出方向或入方向規則。

所有的安全組，在未新增任何安全組規則之前，無論哪種網絡卡型別，出方向允許所有訪問，入方向拒絕所有訪問。所以，在新增安全組規則時，建議出方向只設置拒絕訪問的規則，入方向只設置允許訪問的規則。

安全組規則的變更會自動應用到安全組內的ECS例項上。

前提條件

您已經建立了一個安全組，具體操作，請參見 建立安全組。

您已經知道自己的例項需要允許或禁止哪些公網或內網的訪問。

操作步驟

1. 在左側導航欄中，選擇 網路和安全 > 安全組。
2. 選擇地域。
3. 找到要配置授權規則的安全組，在 操作 列中，單擊 配置規則。
4. 在 安全組規則 頁面上，單擊 新增安全組規則。

   	說明
   	如果您不需要設定ICMP、GRE協議規則，或者您想使用下表中列出的協議的預設埠，單擊 快速建立規則。 每個安全組的入方向規則與出方向規則的總數不能超過100條。

   協議	SSH	telnet	HTTP	HTTPS	MS SQL
   埠	22	23	80	443	1433
   協議	Oracle	MySQL	RDP	PostgreSQL	Redis
   埠	1521	3306	3389	5432	6379

   	說明
   	各個引數配置說明，請參見第6步描述。

5. 在彈出的對話方塊中，設定以下引數：
   • 網絡卡型別：
     • 如果是VPC型別的安全組，不需要選擇這個引數。需要注意以下資訊：
       • 如果您的例項能訪問公網，可以設定公網和內網的訪問規則。
       • 如果您的例項不能訪問公網，只能設定內網的訪問規則。
     • 如果是經典網路的安全組，選擇 公網 或 內網。
   • 規則方向：
     • 出方向：是指ECS例項訪問內網中其他ECS例項或者公網上的資源。
     • 入方向：是指內網中的其他ECS例項或公網上的資源訪問ECS例項。
   • 授權策略：選擇 允許 或 拒絕。

     	說明
     	這裡的 拒絕 策略是直接丟棄資料包，不給任何迴應資訊。如果2個安全組規則其他都相同只有授權策略不同，則 拒絕 授權生效，接受 授權不生效。

   • 協議型別 和 埠範圍：埠範圍的設定受協議型別影響。下表是協議型別與埠範圍的關係。

     協議型別	埠範圍	應用場景
     全部	顯示為-1/-1，表示不限制埠。不能設定。	可用於完全互相信任的應用場景。
     全部ICMP	顯示為-1/-1，表示不限制埠。不能設定。	使用 ping 程式檢測例項之間的通訊狀況。
     全部GRE	顯示為-1/-1，表示不限制埠。不能設定。	用於VPN服務。
     自定義TCP	自定義埠範圍，有效的埠值是1 ~ 65535，埠範圍的合法格式是開始埠/結束埠。即使是一個埠，也需要採用合法格式設定埠範圍，比如：80/80表示埠80。	可用於允許或拒絕一個或幾個連續的埠。
     自定義UDP
     SSH	顯示為22/22。 連線ECS例項後您能修改埠號，具體操作，請參見 伺服器預設遠端埠修改。	用於SSH遠端連線到Linux例項。
     TELNET	顯示為23/23。	用於Telnet遠端登入例項。
     HTTP	顯示為80/80。	例項作為網站或Web應用伺服器。
     HTTPS	顯示為443/443。	例項作為支援HTTPS協議的網站或Web應用伺服器。
     MS SQL	顯示為1433/1433。	例項作為MS SQL伺服器。
     Oracle	顯示為1521/1521。	例項作為Oracle SQL伺服器。
     MySQL	顯示為3306/3306。	例項作為MySQL伺服器。
     RDP	顯示為3389/3389。 連線ECS例項後您能修改埠號，具體操作，請參見 伺服器預設遠端埠修改。	例項是Windows例項，需要遠端桌面連線例項。
     PostgreSQL	顯示為5432/5432。	例項作為PostgreSQL伺服器。
     Redis	顯示為6379/6379。	例項作為Redis伺服器。

     	說明
     	公網出方向的STMP埠25預設受限，無法通過安全組規則開啟，但是您可以 申請解封埠25。其他常用埠資訊，請參見 ECS 例項常用埠介紹。

   • 授權型別 和 授權物件：授權物件的設定受授權型別影響，以下是兩者之間的關係。

     授權型別	授權物件
     地址段訪問	填寫單一IP地址或者CIDR網段格式，如：12.1.1.1或13.1.1.1/25。僅支援IPv4。如果填寫0.0.0.0/0表示允許或拒絕所有IP地址的訪問，設定時請務必謹慎。
     安全組訪問	只對內網有效。授權本賬號或其他賬號下某個安全組中的例項訪問本安全組中的例項，實現內網互通。 本賬號授權：選擇同一賬號下的其他安全組ID。如果是VPC網路的安全組，必須為同一個VPC的安全組。 跨賬號授權：填寫目標安全組ID，以及對方賬號ID。在 賬號管理 > 安全設定 裡檢視賬號ID。 因為安全組訪問只對內網有效，所以，對VPC網路例項，安全組訪問的規則僅適用於內網訪問，不適用於公網訪問。公網訪問只能通過 地址段訪問 授權。

     	說明
     	出於安全性考慮，經典網路的內網入方向規則，授權型別優先選擇 安全組訪問。如果選擇 地址段訪問，則只能授權單個IP地址，授權物件的格式只能是 a.b.c.d/32，僅支援IPv4，子網掩碼必須是 /32。

   • 優先順序：1 ~ 100，數值越小，優先順序越高。更多優先順序資訊，參見 ECS安全組規則優先順序說明。

     
      

6. 單擊 確定，即成功地為指定安全組添加了一條安全組規則。

安全組規則一般是立即生效，但是也可能有稍許延遲。

檢視安全組規則是否生效

假設您在例項裡安裝了Web服務，並在一個安全組裡添加了一條安全組規則：公網入方向，允許所有IP地址訪問例項的TCP 80埠。

Linux例項

如果是安全組中的一臺Linux例項，按以下步驟檢視安全組規則是否生效。

1. 執行以下命令檢視TCP 80是否被監聽。

   netstat -an | grep 80

   如果返回以下結果，說明TCP 80埠已開通。

   tcp        0      0 0.0.0.0:80                  0.0.0.0:*                   LISTEN

2. 在瀏覽器位址列裡輸入 http://例項公網IP地址。如果訪問成功，說明規則已經生效。

Windows例項

如果是安全組中的一臺Windows例項，按以下步驟檢視安全組規則是否生效。

1. 執行 命令提示符，輸入以下命令檢視TCP 80是否被監聽。

   netstat -aon | findstr :80

   如果返回以下結果，說明TCP 80埠已開通。

   TCP    0.0.0.0:80           0.0.0.0:0              LISTENING       1172

2. 在瀏覽器位址列裡輸入 http://例項公網IP地址。如果訪問成功，說明規則已經生效。

ECS安全組規則優先順序說明

安全組規則的優先順序可以設為1 ~ 100的任一個數值，數值越小，優先順序越高。

ECS例項可以加入不同的安全組。無論是同一個安全組內或不同安全組之間，如果安全組規則互相矛盾，即協議型別、埠範圍、授權型別、授權物件都相同，最終生效的安全組規則如下：

• 如果 優先順序 相同，則 拒絕 授權規則生效，接受 授權規則不生效。
• 如果 優先順序 不同，則優先順序高的規則生效，與 授權策略 的設定無關。