云服务器ECS安全组实践(一)

本文涉及的产品
云服务器 ECS,u1 2核4GB 3个月
云服务器 ECS,u1 4核8GB 1个月
云服务器 ECS,每月免费额度200元 3个月
简介: 应用上云除了对资源生命周期管理和应用交付是一个转变,更重要是思维方式的转变。本篇文章就简单介绍下上云的一个重要概念安全组(Security Group)。本文是安全组系列的第一篇,主要介绍安全组的基本概念、约束和如何配置入网规则。

应用上云除了对资源生命周期管理和应用交付是一个转变,更重要是思维方式的转变。本篇文章就简单介绍下上云的一个重要概念安全组(Security Group)。本文是安全组系列的第一篇,主要介绍安全组的基本概念、约束和如何配置入网规则。

安全组的基本概念和约束

安全组在云端提供类似虚拟防火墙功能,用于设置单个或多个 ECS 实例的网络访问控制,它是重要的安全隔离手段。在创建 ECS 实例时,必须选择一个安全组。您还可以添加安全组规则,对该安全组下的所有 ECS 实例的出方向和入方向进行网络控制。

安全组有下面的限制:

  • 每个账户最多可以建立50个安全组,每个安全组最多100个安全组规则
  • 一个实例最多可以加入5个同种网络类型的安全组
  • 同一个安全组之内的资源默认是网络通的,不同安全组之间的资源默认是网络不通
  • 安全组应该是白名单的性质的,所以需要尽量开通最小的权限,默认拒绝所有的访问
  • 单个安全组最大支持1000个实例
    当您创建一个安全组的时候,默认规则均为出方向 accept all,入方向 deny all。安全组的出入规则,很多客户在使用的时候并没有按照自己的应用规范划分。使得自己的应用加大了收到攻击的风险。

安全组的出入规则可以参见下面的文档:

  • 安全组In方向的访问权限设置
  • 安全组Out方向的访问权限设置
    除了可以限制IP和CIDR网段之外,安全组的出入规则可以直接引用另外一个安全组,这样就避免了有些时候CIDR或者IP的不灵活,直接对另外一个安全组中的资源授权。通过这样间接的可以通过安全组对应用进行分层。

  • 安全组的入网规则,可以设置为另外一个相同网络类型(“专有网络”或”经典网络”)的安全组。属性为SourceGroupId

  • 安全组的出网规则,可以设置为另外一个相同网络类型(“专有网络”或”经典网络”)的安全组。属性为DestGroupId
  • 出入规则是可以设置Priority来设置权重,1为最高,100为最低
  • 安全组也支持跨帐号授权,这个属于高级功能,我们在以后的文章介绍
    在上云的时候,很多的客户没有重视安全组的出入规则的设置和长远的规划,影响了自己的业务扩展性。合理的规划安全组是能帮助应用降低被攻击的风险,同时可以帮助应用之间的结构和层次更清晰。下面是安全组最佳实践的第一篇。

最佳实践

在开始安全组的实践之前,下面有一些基本的建议。

  • 首先安全组应该作为白名单使用, 这是最重要的规则。
    使用最小的原则开放自己的应用出入规则,例如可以选择开放具体的端口例如80。
  • 使用一个安全组来管理所有的应用将会非常难以配置,因为不同的分层一定有不同的需求。
  • 对于今天的常见的分布式应用来说,不同的应用类型应该使用不同的安全组,例如我们对Web、Service、Database、Cache层使用不同的安全组暴漏不同的出入规则和权限。
  • 也没有必要为每个实例设置一个安全组,这样管理起来的成本也非常高。
  • 优先考虑VPC网络
  • 不需要公网访问的资源不要提供公网IP
  • 因为一个实例可以分配多个安全组,所以一个实例可能同时应用数百条规则。我们聚合所有分配的安全规则以判断是否允许流入或留出,但庞大的安全组规则可能会增加您管理上的复杂程度。因此,我们建议您尽可能保持单个安全组的规则简洁。
    调整线上的安全组的出入规则是比较危险的动作,如果您不确定的情况下不要随意的更新安全组的出入规则的设置。 阿里云的控制台提供了克隆安全组和安全组规则的功能,您在修改安全组和规则的时候建议Clone一个相同的安全组,然后进行调试,避免直接影响线上应用。

本文先介绍一些安全组的入网规则的实践建议。

1. 不要使用0.0.0.0/0的入网规则

允许全部入网访问是经常犯的错误。使用0.0.0.0/0意味着所有的端口都对外暴漏了访问权限。这个是非常的不安全的。因此正确的做法是首先拒绝所有的端口对外开放。安全组应该是白名单访问。如果您需要暴漏服务,如果是Web服务,默认情况下可以只开放 80、8080、443之类的常用TCP端口。其它的端口都关闭。

{
    "IpProtocol" : "tcp", "FromPort" : "80", "ToPort" : "80", "SourceCidrIp" : "0.0.0.0/0", "Policy": "accept"} ,
          {
    "IpProtocol" : "tcp", "FromPort" : "8080", "ToPort" : "8080", "SourceCidrIp" : "0.0.0.0/0", "Policy": "accept"} ,
          {
    "IpProtocol" : "tcp", "FromPort" : "443", "ToPort" : "443", "SourceCidrIp" : "0.0.0.0/0", "Policy": "accept"} ,

2. 关闭不需要的入网规则

如果您当前使用的入规则已经包含了0.0.0.0/0。首先您要重新审视下自己的应用需要对外暴漏的端口和服务。在确定某些端口是不想直接对外提供服务的可以加一条拒绝的规则。如果您的服务器上也自己安装了Mysql数据库服务,默认情况下您是不应该暴漏3306到公网的。您可以添加一条拒绝规则如下所示,下面的规则添加了一条拒绝规则。先将其设置的优先级为100,优先级最低。

{
    "IpProtocol" : "tcp", "FromPort" : "3306", "ToPort" : "3306", "SourceCidrIp" : "0.0.0.0/0", "Policy": "drop", Priority: 100} ,

上面的调整直接将导致所有的端口都不能访问3306。这样非常有可能阻止您的正常的业务需求。您可以通过授权另外一个安全组的资源进行如规则访问。

3. 授权另外一个安全组入网访问

不同的安全组按照最小原则开放相应的出入规则。对于不同的应用分层应该使用不同的安全组,不同的安全组相应的出入规则。

例如对于常见的分布式应用,我们都会区分不同的安全组,由于不同的安全组可能网络是不能通讯的,这个时候直接授权IP或者CIDR网段就是非常痛苦的,我们可以直接授权另外一个安全组id的所有的资源都可以直接访问。例如我们的应用对Web、Database创建了不同的安全组, sg-web, sg-databse。在sg-database中我们可以加一条下面的规则,授权所有的sg-web安全组的资源可以访问我们的3306端口。

{
    "IpProtocol" : "tcp", "FromPort" : "3306", "ToPort" : "3306", "SourceGroupId" : "sg-web", "Policy": "accept", Priority: 2} ,

4. 授权另外一个CIDR可以入网访问

经典网络中由于网段不太可控,我们建议您使用安全组ID来授信入网规则,但是VPC中我们的IP地址是可以自己规划的,您可以通过不同的VSwitch来设置不同的IP域。

在VPC环境中,我们可以默认的拒绝所有的访问。然后授信自己的专有网络的网段可以访问。通过直接授信可以相信的CIDR网段。

{
    "IpProtocol" : "icmp", "FromPort" : "-1", "ToPort" : "-1", "SourceCidrIp" : "10.0.0.0/24", Priority: 2} ,
          {
    "IpProtocol" : "tcp", "FromPort" : "0", "ToPort" : "65535", "SourceCidrIp" : "10.0.0.0/24", Priority: 2} ,
          {
    "IpProtocol" : "udp", "FromPort" : "0", "ToPort" : "65535", "SourceCidrIp" : "10.0.0.0/24", Priority: 2} ,

5. 变更安全组规则步骤和说明

变更安全组规则可能会导致您的实例间网络通信受到影响,为避免必要的网络通信受到影响,请尝试以下方法先放行必要的实例,再执行安全组策略收紧变更。执行收紧变更后请观察一段时间,确认业务应用无异常后再执行其它必要的变更

  • 将需要互通访问的实例,加入同一个安全组再执行变更操作。您可以选择新建一个安全组,将需要互通的实例加入这个新的安全组后,安全组内的实例内网即可互通。
  • 将需要互通访问的对端实例所绑定的安全组ID,添加到实例安全组授权规则中;
  • 将需要互通访问的对端实例内网IP,添加到实例安全组授权规则中;
    具体操作指引请参见 安全组设置内网互通的方法

本篇主要是入网规则的一些实践。下面我们将介绍 云服务器ECS安全组实践(二), 将涉及云服务器的安全规则细节和将云服务器加入和移除安全组。

相关实践学习
ECS云服务器新手上路
本实验会自动创建一台ECS实例。首先,远程登陆ECS实例,并部署应用。然后,登陆管理控制台,并对这台ECS实例进行管理操作。
7天玩转云服务器
云服务器ECS(Elastic Compute Service)是一种弹性可伸缩的计算服务,可降低 IT 成本,提升运维效率。本课程手把手带你了解ECS、掌握基本操作、动手实操快照管理、镜像管理等。了解产品详情: https://www.aliyun.com/product/ecs
目录
相关文章
|
7天前
|
存储 编解码 网络协议
阿里云服务器计算型和通用型四代云服务器实例区别及选择参考
目前阿里云在售的云服务器中,计算型和通用型实例规格都包含了第5代、第6代、第7代和最新第八代倚天云服务器产品,例如计算型实例中有c5、c6、c7、c8y实例,而通用型实例有g5、g6、g7、g8y等实例,有的新手用户并不清楚这四代产品之间的差别,本文为大家展示这四代云服务器实例在规格、CPU(核)、内存(G)、计算、存储、内存以及不同配置的指标数据等方面为大家做个对比,让大家了解一下他们之间的不同,以供参考和选择。
阿里云服务器计算型和通用型四代云服务器实例区别及选择参考
|
5天前
|
弹性计算 前端开发 JavaScript
高校学生在家实践ECS弹性云服务器
简单谈谈我这几周使用ECS弹性云服务器的体验感
|
7天前
|
弹性计算 固态存储 大数据
阿里云服务器多少钱一年?2024年阿里云服务器价格表曝光!
2024年最新阿里云服务器租用费用优惠价格表,轻量2核2G3M带宽轻量服务器一年82元,折合6.8元1个月,新老用户同享99元一年服务器,2核4G5M服务器ECS优惠价199元一年,2核4G4M轻量服务器298元一年,2核4G服务器30元3个月,4核16G10M服务器26元1个月、149元半年,8核32G服务器90元1个月、271元3个月,阿小云整理阿里云服务器租用费用价格表,包括一年优惠价格、一个月和1小时收费明细表
62 3
|
6天前
|
SQL 弹性计算 安全
通过阿里云的活动购买的云服务器,后续购买并挂载云盘、设置密码及安全组教程
现在大多数用户购买阿里云的云服务器通常都是通过阿里云的活动来购买,这种购买方式主要是价格更实惠,且购买流程简单,但是选购活动中的云服务器,一般只有系统盘,没有数据盘,这需要我们在购买之后单独购买并挂载云盘作为数据盘,而且云服务器的密码和安全组等基础设置也是需要在购买之后再设置的。本文为大家介绍后续购买并挂载云盘、设置密码及安全组的相关教程,以供参考。
通过阿里云的活动购买的云服务器,后续购买并挂载云盘、设置密码及安全组教程
|
13天前
|
弹性计算 前端开发 JavaScript
高校学生在家实践ECS弹性云服务器
简单谈谈我这几周使用ECS弹性云服务器的体验感
|
1天前
|
安全 网络协议 网络安全
SSL(Secure Sockets Layer)是一种安全协议,用于在客户端和服务器之间建立加密的通信通道。
SSL(Secure Sockets Layer)是一种安全协议,用于在客户端和服务器之间建立加密的通信通道。
4 0
|
2天前
|
弹性计算 前端开发 JavaScript
高校学生在家实践ECS弹性云服务器
简单谈谈我这几周使用ECS弹性云服务器的体验感
|
6天前
|
弹性计算 网络安全 数据安全/隐私保护
阿里云服务器新手入门:注册账号、实名认证申请免费云服务器全流程
注册阿里云账号,选择注册方式如密码、扫码或手机号,并完成验证码验证。接着进行实名认证,提供必要个人信息或企业证件。然后,在控制台选择云服务器ECS,点击“免费试用”申请,配置实例并设置登录密码。创建后,通过远程连接工具如SSH登录,开始使用服务器进行软件安装、应用部署等操作。阿里云提供详细文档支持。别忘了点击链接以直接试用。
26 0
|
7天前
|
弹性计算 固态存储 JavaScript
阿里云4核8G云服务器ECS有哪些?性能如何?4C8G性能参数表
阿里云4核8G ECS u1实例,适合30并发,日均1万IP访问。当前优惠价700元/年。配置包括Intel Xeon CPU,2.5 GHz,4核8G内存,1-3M带宽,20-40GB ESSD系统盘。网络性能可达50万PPS,最高25万连接数。可扩展公网带宽和云盘。适用于入门级企业应用。
30 0
|
9天前
|
弹性计算 前端开发 JavaScript
高校学生在家实践ECS弹性云服务器
简单谈谈我这几周使用ECS弹性云服务器的体验感