安全组设置内网互通的方法

简介: 虽然0.0.0.0/0使用非常方便,但是发现很多同学使用它来做内网互通,这是有安全风险的,实例有可能会在经典网络被内网IP访问到。下面介绍一下四种安全的内网互联设置方法。

    相信接触过安全组的同学肯定都知道0.0.0.0/0,这个特殊的地址段代表了所有IPV4地址,当您不能确认目标或来源地址时一般就用它来代替,例如,公网提供HTTP服务的应用就会利用0.0.0.0/0作为公网安全组入规则的来源地址。

    虽然0.0.0.0/0使用非常方便,但是发现很多同学使用它来做内网互通,这是有安全风险的,实例有可能会在经典网络被内网IP访问到。下面介绍一下四种安全的内网互联设置方法。


内网安全组互通设置方法:


1. 使用IP地址授权

    如果内网互联的实例数量较少,建议使用IP地址授权方式。

    设置方法:在安全组列表控制台,选择想要互通的实例的安全组,点击“添加安全组规则”,“授权类型”选择“地址段访问”,在“授权对象”中填入想要互通的实例的内网IP地址, 格式例如:a.b.c.d/32

917a2c8ab2524570a4aa5d8cd595fc1606f64786

优点:安全组规则清晰,好理解。

缺点:有可能受到安全组规则条数100条的限制,实例数目发生变化时维护工作量较大。


2. 加入同一安全组

    如果您的网络架构比较简单,实例中部署的业务相同,您就可以为所有的实例选择相同的安全组,绑定同一安全组的实例之间不用设置特殊规则、默认是网络互通的。


优点:安全组规则清晰。

缺点:适用于单一的应用架构,网络架构变更时需要做调整。


3. 绑定互通安全组

    为需要互通的实例新添加绑定一个专门互通用的安全组,适用于较为复杂的网络架构。

    设置方法:新建一个安全组,命名为“互通安全组”,不用给新建的安全组添加任何规则。将需要互通的实例都添加绑定新建的“互通安全组”,利用同一安全组的实例之间默认互通的特性,达到内网实例互通的效果。


优点:操作简单,适用于复杂网络架构。

缺点:安全组规则阅读性较差。


4. 安全组互信授权

    如果您的网络架构比较复杂,各实例上部署的应用都有不同的业务角色,您就可以选择使用安全组互相授权方式。

    设置方法:在安全组列表控制台,分别选择想要建立互信的实例的安全组,点击“添加安全组规则”,授权类型选择“安全组访问”

ff439562ecfcc653e3d19d76d9378805165a8654

    在添加经典网络安全组内网入方向规则时,选择“授权策略”为“允许”, “授权类型”为“安全组访问”。您将会看到右侧的两个选择:“本账号授权”,“跨账号授权”,按照您的组网要求,将有互联需求的对端实例的安全组ID填入下方的授权对象中,这样就建立了安全组互信,建立安全组互信后的实例间通信就没有阻碍了。

7fa6191ef505d989504af54e1b9c9114d6c0c918


优点:安全组规则结构清晰、阅读性强、可跨账户互通

缺点:操作稍复杂


适用范围:

  • 使用IP地址授权:适用于小规模实例间内网互通场景
  • 加入同一安全组:适用于所有实例同属于单一应用架构场景
  • 绑定互通安全组:快速达到内网互通效果,适用于多层应用网络架构场景
  • 安全组互信授权:规则结构清晰,阅读性强,适合多层应用网络架构场景

推荐的0.0.0.0/0替换流程

d587c3c32e11176066f3fab85104d3ada775f959

    如果安全组规则变更操作不当,可能会导致您的实例间通信受到影响,请在修改设置前备份您要操作的安全组规则,以便出现互通问题时及时恢复。


    另外,安全组是实例级别防火墙,它映射了所绑定的实例在整个应用网络架构中的业务角色,所以推荐大家按照自己的应用网络架构规划防火墙。例如:常见的三层WEB应用架构就可以规划为三个安全组:1. WEB 层安全组 (开放80端口)2. APP 层安全组(开放8080端口) 3 DB层安全组 (开放3306端口)。


相关文章
|
7月前
|
安全 网络虚拟化 网络架构
配置通过流策略实现不同网段间限制互访示例
MQC是指通过将具有某类共同特征的报文划分为一类,并为同一类报文提供相同的服务,也可以对不同类的报文提供不同的服务。 高级ACL可以在规则中使用源IP地址和目的IP地址信息来定义允许和拒绝通过的数据流。在流分类中按照ACL对报文进行分类,并指定对匹配的报文采取的动作(允许或拒绝通过)。本例就是使用该方法实现不同网段间的互访限制。
|
7月前
仅操作一台设备,如何实现本地访问另一个相同网段的私网?
仅操作一台设备,如何实现本地访问另一个相同网段的私网?
|
网络协议
aws-vpc-对等连接(不同vpc之间的内网互通)
aws-vpc-对等连接(不同vpc之间的内网互通)
1839 0
aws-vpc-对等连接(不同vpc之间的内网互通)
|
4月前
|
负载均衡 安全 网络虚拟化
CCE集群VPC网络模式下几种访问场景
【8月更文挑战第13天】在CCE(Cloud Container Engine)集群的VPC网络模式下,支持多样化的访问场景:容器应用可直接利用VPC访问外部资源;通过ELB负载均衡或VPN/专线配置,实现外部网络对容器应用的安全访问;容器间通过内部IP或服务发现机制相互通信;跨VPC访问则可通过VPC对等连接或云连接服务实现。这些方案确保了应用内外部通信的安全与高效。
120 3
|
安全 网络安全 网络架构
安全组设置内网互通的方法
虽然0.0.0.0/0使用非常方便,但是发现很多同学使用它来做内网互通,这是有安全风险的,实例有可能会在经典网络被内网IP访问到。下面介绍一下四种安全的内网互联设置方法。
766 0
|
弹性计算 负载均衡 网络安全
专有网络VPC是什么?默认专有网络是什么?
阿里云专有网络VPC是什么?默认专有网络是什么?创建云服务器或者云数据库需要选择或创建专有网络,阿里云专有网络VPC有什么用?专有网络是上云用户在云上的私有网络,云上用户可以自己完全掌控的私有网络,可以自定义设置IP地址、配置路由表及网关等操作,阿里云百科来详细说下什么是专有网络:
388 0
专有网络VPC是什么?默认专有网络是什么?
|
弹性计算 网络安全 数据中心
阿里云VPC创建专有网络10、172和196网段选择注意事项
阿里云VPC创建专有网络10、172和196网段选择注意事项,阿里云专有网络VPC私网网段可选192.168.0.0/16、172.16.0.0/12或10.0.0.0/8,如何选择?阿里云百科来详细说下阿里云专有网络IPv4网段选择方法:
316 0
阿里云VPC创建专有网络10、172和196网段选择注意事项
|
网络安全
阿里云默认专有网络和默认交换机是什么?
阿里云默认专有网络和默认交换机是什么?专有网络VPC是阿里云为用户提供的云上私有网络,系统会为每个用户自动创建默认专有网络和默认交换机,如果对于专有网络规划没有特殊要求的用户,选择默认即可,也可以自定义设置专有网络和交换机,创建专有网络可以指定IPv4网段、交换机网段等配置。
218 0
阿里云默认专有网络和默认交换机是什么?
|
弹性计算 负载均衡 网络安全
阿里云默认专有网络是什么?
什么是专有网络VPC?创建云服务器或者云数据库需要选择或创建专有网络,阿里云专有网络VPC有什么用?专有网络是上云用户在云上的私有网络,云上用户可以自己完全掌控的私有网络,可以自定义设置IP地址、配置路由表及网关等操作,阿里云百科来详细说下什么是专有网络:
204 0
阿里云默认专有网络是什么?
|
弹性计算 网络安全 数据中心
阿里云创建专有网络10.0.0.0/8、172.16.0.0/12和192.168.0.0/16
阿里云专有网络VPC私网网段可选192.168.0.0/16、172.16.0.0/12或10.0.0.0/8,如何选择?阿里云百科来详细说下阿里云专有网络IPv4网段选择方法:
510 0
阿里云创建专有网络10.0.0.0/8、172.16.0.0/12和192.168.0.0/16

热门文章

最新文章