网络ACL和安全组的基本差异如下表所示。
与交换机绑定的网络ACL规则控制流入和流出交换机的数据流,与ECS实例相关的安全组规则控制流入和流出ECS实例的数据流。
对比项 |
网络ACL |
安全组 |
运行范围 |
在交换机级别运行。 |
在ECS实例级别运行。 |
返回数据流状态 |
无状态:返回数据流必须被规则明确允许。 |
有状态:返回数据流会被自动允许,不受任何规则的影响。 |
是否评估规则 |
不评估所有规则,按照规则的生效顺序处理所有规则。 |
执行规则前,会评估所有规则。 |
与ECS实例的关联关系 |
ECS实例所属的交换机仅允许绑定一个网络ACL。 |
一个ECS实例可加入多个安全组。 |
网络ACL和安全组提供的安全层如下图所示。
网络ACL(Network Access Control List)是专有网络VPC中的网络访问控制功能。您可以自定义设置网络ACL规则,并将网络ACL与交换机绑定,实现对交换机中云服务器ECS实例流量的访问控制。
功能特性
网络ACL规则仅过滤绑定的交换机中ECS实例的流量(包括SLB实例转发给ECS实例的流量)。
说明
如果您的ECS实例绑定了辅助弹性网卡,且辅助弹性网卡绑定了设置网卡可见模式的EIP,那么网络ACL不过滤该ECS实例的流量。更多信息,请参见设置EIP网卡可见模式。
网络ACL的规则是无状态的,即设置入方向规则的允许请求后,需要同时设置相应的出方向规则,否则可能会导致请求无法响应。
网络ACL无任何规则时,会拒绝所有出入方向的访问。
网络ACL与交换机绑定,不过滤同一交换机内的ECS实例间的流量。
网络ACL放通的DNS服务器为100.100.2.128/28、100.100.2.112/28;放通的Metaserver(元数据服务器)为100.100.100.200/32。
规则说明
规则元素说明
网络ACL中的元素说明如下:
生效顺序:值越小,规则的优先级越高。系统从生效顺序为1的规则开始判断,只要有一条规则与流量匹配,即应用该规则,并忽略其他规则。
例如,ECS实例请求访问目的地址为172.16.0.1的数据包,在经过如下表所示的ACL规则配置后,172.16.0.1匹配生效顺序2和生效顺序3规则中的目的地址,由于生效顺序2的优先级高于生效顺序3,所以会根据生效顺序2规则拒绝该请求。
生效顺序
协议类型
目的地址
端口范围
策略
类型
1
ALL
10.0.0.0/8
-1/-1
允许
自定义
2
ALL
172.16.0.0/12
-1/-1
拒绝
自定义
3
ALL
172.16.0.0/12
-1/-1
允许
自定义
策略:针对特定流量选择允许或拒绝。
协议类型:指定数据流的协议类型,可选择以下协议。
ALL:所有协议。当选择所有协议类型时,端口范围无法设置,为-1/-1,表示不限制端口。
ICMP:网络控制报文协议。当选择该协议类型时,端口范围无法设置,为-1/-1,表示不限制端口。
GRE:通用路由封装协议。当选择该协议类型时,端口范围无法设置,为-1/-1,表示不限制端口。
TCP:传输控制协议。当选择该协议类型时,端口范围为1~65535。设置格式为1/200或80/80,且不能设置为-1/-1。
UDP:用户数据报协议。端口范围为1~65535。设置格式为1/200或80/80,且不能设置为-1/-1。
ICMPv6:IPv6网络控制报文协议。当选择所有协议类型时,端口范围无法设置,为-1/-1,表示不限制端口。
源地址(限入方向规则):数据流的源地址。
目的地址(限出方向规则):数据流的目的地址。
端口范围(入方向规则/出方向规则):入方向规则/出方向规则作用的端口范围。
出方向和入方向规则
添加出方向规则和入方向规则前,您需要了解:
在网络ACL中添加或删除规则,更改规则后会自动应用到与其绑定的交换机。
在网络ACL中添加IPv6类型的出方向规则和入方向规则时,您需要为网络ACL所在的VPC分配IPv6网段。
当您配置了DHCP选项集时,您需要在网络ACL的出入方向规则中添加放行DNS域名服务器配置的IP地址。当未添加规则时,可能会造成DHCP选项集的业务异常。
↑↑↑长按图片识别二维码关註↑↑↑
原文始发于微信公众号(全栈网络空间安全):VPC访问控制网络ACL和安全组的基本差异
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论