简介： 本次内容由阿里云智能技术专家王帝（丞浩）为大家介绍如何正确应用平安组、最佳实际以及新个性；具体理解平安组为何是云端的虚构防火墙，以及为何是重要的网络隔离伎俩。

演讲嘉宾简介：王帝（丞浩），阿里云技术专家，2017年10月退出阿里云弹性计算团队，次要负责网络安全组的优化和演进。

以下内容依据演讲视频以及PPT整顿而成。观看回放
更多课程请进入“玩转ECS详情页”理解

应用过ECS的敌人肯定不会对平安组生疏，他是ECS实例的虚构防火墙。配置平安组是创立ECS实例或者产生网络属性变更必不可少的一步。上面我就为大家分享一下平安组的相干内容。

本次分享次要围绕以下三个局部，平安组的简介，基本操作和最佳实际。

一、平安组简介

ECS网络访问控制

首先什么是平安组，阿里云ECS的网络访问控制，是由子网ACL和平安组两层实现的。大家晓得阿里云提供VPC专有网络，是用户独有的云上公有网络。VPC专用网络为用户独立出一块网络区域，使得用户能够自行布局本人的网段，在没有配置公网IP的状况下，VPC是齐全与外界隔离的。

交换机绑定网络ACL，ACL会对应一些管制规定，所有通过交换机的网络流量都需通过这些规定，个别配置的是黑名单规定(当然也反对指定白名单)，例如不容许哪些网端的数据包流入或流出。

再往下一层就是咱们明天要讲的平安组，绝对于子网ACL是失效在交换机上，平安组实例级别的防火墙，失效在ECS下面。所有通过用户的ECS网络流量都需通过平安组。

平安组是一种虚构防火墙，具备状态检测和数据包过滤能力，用于在云端划分平安域。通过配置平安组规定，您能够管制平安组内ECS实例的入流量和出流量。

平安组是一个逻辑上的分组，由同一地区内具备雷同平安爱护需要并相互信任的实例组成。此外，平安组与子网ACL之间的显著区别是平安组具备状态，平安组会主动容许返回的数据流不受任何规定的影响，简略来说就是被动申请他人就肯定会收到回包。而交换机则不是，入流量也会走一遍所设置的子网ACL规定，如果被拦挡是收不到回包的。有些用户会将平安组与iptables比照，其实这两者是独立的。

阿里倡议用户独自应用平安组，如果用户的场景须要配置iptables，ECS也是齐全反对的。绝对于子网ACL的黑名单形式，平安组个别是白名单。

ECS或弹性网卡必须至多属于一个平安组，平安组组内默认互通能够配置规定管制网络联通。

二、平安组的基本操作

上面再给大家分享一下在阿里云ECS控制台是如何操作治理平安组的。

为了不便了解，咱们把对平安组的操作临时分为两类，组的操作和规定的操作。

组的操作是针对平安组自身的操作，比方创立、删除、改名字，以及可能导致平安组内IP发生变化的操作，还有组内增加实例网卡、替换组等。规定的操作则是扭转组内规定的操作，比方增加，删除，批改，克隆等操作。

先说组的操作，比方组内加减实例，网卡等操作比较简单，咱们就不特地介绍了，重点介绍一下替换组。

替换组：实例能够从组A替换到组B，在替换过程中不会产生网络闪断或抖动的状况，用户只需保障新老组的规定是兼容的，在整个替换过程中不会对网络有任何的影响和抖动。

再说规定的操作，咱们重点介绍一下还原，导出导入，Classic Link和克隆组。

**
规定还原：**对两组规定进行合并或替换，个别在做试验性质的网络变更之前能够先克隆出一个组，测试后能够通过规格还原性能复原成原来的样子。下图为规格还原的页面，展现出哪些规格为新增哪些为删除。

导出导入：将平安组下载成JSON文件或是CSV文件用于备份。

Classic Link：通过增加一条平安组规定实现VPC和经典网络之间的网络联通。

克隆组：克隆组反对跨地区或跨网络类型的平安组复制，能够从经典网络到VPC或是到一个新Regen并疾速复制一个组。

三、最佳实际

最初再给大家介绍一下比拟好的平安组配置实际，比方如何正当的配置规定，如何应用五元组，如何基于平安组做断网演练。

平安组规定格局

首先先介绍一下平安组规定配置有两种形式：
CIDR：图中示例展现，受权192.168.0.0/24的地址DR机器拜访22端口。
组织受权：图中示例展现，回绝另一组拜访的所有端口，齐全切断两组之间的流量。
以上两个示例都为入方向规定，个别状况下不晓得对方应用哪个端口接连本人，所以不限度，区别在于本人任选哪个端口对外裸露给任意对象。

绝对于上图的四元组，阿里也反对五元组。

五元组为五个参数：源地址、源端口、目标地址、目标端口、传输层协定，相比四元组多了目标地址。以入方向规定为例，应用五元组能够实现不放行整个组，可独自放行某一个IP段，这样某些平台内网络服务为了防备第三方产品对用户ECS的实例发动非法拜访，须要在平安组内设置五元组规定，更准确的管制出和入的流量。另外，如果用户组内联通策略是回绝场景，想准确控制组内ECS之间的联通策略也须要应用五元组。五元组场景较为非凡，而绝大多数场景四元组是能够胜任的。

规定配置倡议

先布局对于分布式应用来说，不同的利用类型应放到不同组中。应用白名单形式治理平安组，不倡议用户应用先加一条低优先级全通，再逐条回绝的形式。要慎用0.0.0.0/0全通策略。遵守规则最小化配置准则。尽量应用CIDR段，因为单组容量无限，而且CIDR地址段更容易扩大和保护。不限度协定应用all，不是每个协定都配一遍。平安组规定变更十分高危，要认真写好备注以便于后续的保护。

潜在高危平安组概览

阿里云ECS会定期检查用户的实例，如果实例裸露在公共环境并且凋谢高危端口，阿里会对用户做出预警，且用户在资源概览页面中能够查看本人的高危平安组。

如何给利用划分平安组

为了防止测试环境和正式环境之间相互烦扰，阿里会将测试环境和正式环境放在不同VPC中进行隔离。将有公网服务放在一组内网服务放在一组。不同利用类型应应用不同平安组，例如Web服务、应用服务、数据库或缓存，都应该放在不同平安组中。下图中的示例，因为都需应用跳板机，所以都受权了跳板机组G1，Web服务器须要联通应用服务器，应用服务器又须要联通数据库，所以别离做了组组受权。这样做完网络安全组的布局使得利用分层清晰，便于后续的保护，同时也满足了隔离性和安全性的要求。

应用平安组进行断网演练

基于平安组可进行断网演练用于高可用容灾或混沌工程等场景，如下图中case，演练数据挂掉时零碎的体现，能够将此DB退出专门的断网组，断网组+全阻断规格来实现疾速规模化断网。

拆解断网过程

创立断网组：因为组内默认联通策略是组内互通的，所以先改为组内不互通。
退出实例：先将演练数据库退出断网组内，这时对业务无任何影响且失常运行。
增加规定：当真正进行断网演练时须要执行该步骤，给断网组出和入各加一条全阻断规定，加完后此时服务器的流量就会齐全被切断。
删除规定：当演练结束后，须要将全阻断规定删除，即可复原业务。
如果须要不定期做容灾演练，只需反复步骤三、四即可。

企业级平安组

传统平安组组内容量下限是2000IP，如要进行更大规模则需应用企业组，企业组反对单组60000以上的IP，将来反对的容量会更多。

典型的企业组场景例如阿里云的容器服务ACK或是用户自建K8s集群，其实ECS只是作为S层，ECS之间只需网络互通即可。容器的网络访问控制并不是平安组实现的，而是通过Network Policy等形式来实现的。下图中的示例显示是较为常见的部署形式，VPC下挂两个虚构交换机别离在两个可用区做跨地区容灾，将所有实例放入一个组中，无需简单的规定配置，只需配置内网全通和出方向全通就可实现VPC内互通。下图中只配置了三条规定，两条入方向全通和一条出方向全通，这是较为常见的容器服务平安组架构。如果用户不须要组组受权并且对组内的实例规模有要求，那么请应用企业级平安组。如果以后传统组想切换至企业组，有两种形式可实现，第一种新建一个企业组后采纳替换组的形式将实例一一挪入到企业组中，第二种是阿里帮助用户将原来的传统组升级成企业组。

云产品托管平安组

用户在应用阿里云云产品时，如云防火墙、NAT网关等，云产品都会替用户创立平安组，为了防止用户误操作造成产品不可用，阿里采纳了托管模式，托管组即用户可建不可操作，防止产生问题。

以上是对本次分享的全副，心愿对大家有所帮忙，谢谢各位。

原文链接
本文为阿里云原创内容，未经容许不得转载。