本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
安全群組規則
安全群組的規則可控制允許到達與安全群組相關聯之資源的傳入流量。規則也會控制允許離開的對外流量。
您可以新增或移除安全群組的規則 (也稱為授權或撤銷傳入或傳出存取)。規則會套用至傳入流量 (輸入) 或傳出流量 (輸出)。您可以授予特定來源或目的地的存取權。
安全群組規則基礎知識
以下為安全群組規則的特性:
-
您可以指定允許規則,但無法指定拒絕規則。
-
當您首次建立安全群組時,它沒有傳入規則。因此,在您將傳入規則新增到安全群組之前,都不會允許傳入流量。
-
當您首次建立安全群組時,該安全群組會具有允許來自該資源的所有傳出流量的傳出規則。您可以移除規則並新增只允許特定傳出流量的傳出規則。若您的安全群組沒有傳出規則,將不會允許傳出流量。
-
當您將多個安全群組與資源建立關聯時,會將每個安全群組的規則彙總以構成一組規則,並使用這組規則來決定是否允許存取。
-
當您新增、更新或移除規則時,您的變更會自動套用至與安全群組相關聯的所有資源。如需說明,請參閱 設定安全群組規則。
-
有些規則變更的效果可取決於追蹤流量的方式。如需詳細資訊,請參閱 Amazon EC2 使用者指南中的連線追蹤。
-
當您建立安全性群組規則時, AWS 會為規則指派唯一 ID。當您使用或修改API或刪除規則時,您可CLI以使用規則的 ID。
限制
安全群組無法封鎖向 Route 53 解析器傳送或傳出的DNS請求,有時也稱為「VPC+2 IP 位址」(請參閱 Amazon Route 53 開發人員指南Amazon Route 53 Resolver中的相關資訊,或按照. AmazonProvidedDNS 若DNS要透過 Route 53 解析程式篩選要求,請使用 Rou te 53 解析程式防火牆。DNS
安全群組規則的元件
以下是輸入和輸出安全性群組規則的元件:
-
通訊協定:要允許的通訊協定。最常見的通訊協定是 6 (TCPUDP)、17 () 和 1 (ICMP)。
-
連接埠範圍:對於TCPUDP、或自訂通訊協定,允許的連接埠範圍。您可以指定單一連接埠號碼 (例如,
22
),或是連接埠號碼的範圍 (例如,7000-8000
)。 -
ICMP類型和代碼:對於ICMP,ICMP類型和代碼。例如,使用類型 8 作為ICMP回應要求,或輸入 128 ICMPv6 回應要求。
-
來源或目的地:允許流量的來源 (傳入規則) 或目的地 (傳出規則)。請指定下列其中一項:
-
單一IPv4位址。您必須使用
/32
的字首長度。例如:203.0.113.1/32
。 -
單一IPv6位址。您必須使用
/128
的字首長度。例如:2001:db8:1234:1a00::123/128
。 -
以區CIDR塊標記法表示的IPv4位址範圍。例如:
203.0.113.0/24
。 -
以區CIDR塊標記法表示的IPv6位址範圍。例如:
2001:db8:1234:1a00::/64
。 -
字首清單的 ID。例如:
pl-1234abc1234abc123
。如需詳細資訊,請參閱使用託管前綴列表合併和管理網絡CIDR塊。 -
安全群組的 ID。例如:
sg-1234567890abcdef0
。如需詳細資訊,請參閱安全群組參考。
-
-
(Optional) Description ((選用) 描述):您可以為規則新增描述,這可協助您在稍後更容易識別它。描述的長度最高可達 255 個字元。允許的字元為 a-z、A-Z、0-9、空格鍵和 ._-:/()#,@[]+=;{}!$*。
安全群組參考
當您將安全群組指定為規則的來源或目的地時,規則會影響所有與安全群組相關聯的執行個體。執行個體可透過指定的通訊協定和連接埠,使用執行個體的私有 IP 地址,以指定的方向進行通訊。
例如,以下內容表示參考安全群組 sg-0abcdef1234567890 的安全群組傳入規則。此規則允許來自與 sg-0abcdef1234567890 相關聯之執行個體的輸入SSH流量。
來源 | 通訊協定 | 連接埠範圍 |
---|---|---|
sg-0abcdef1234567890 |
TCP | 22 |
在安全群組規則中參考安全群組時,請注意下列事項:
-
兩個安全性群組都必須屬於相同VPC或對等群VPC組。
-
所參考安全群組中的規則不會新增至參考該安全群組的安全群組。
-
對於輸入規則,與安全群組相關聯的EC2執行個體可以從與參考安全群組相關聯的EC2執行個體私有 IP 位址接收輸入流量。
-
對於輸出規則,與安全群組相關聯的EC2執行個體可以將輸出流量傳送到與參照安全群組相關聯的EC2執行個體的私有 IP 位址。
限制
如果您將路由設定為透過中間設備來轉遞不同子網中兩個執行個體之間的流量,則您必須確保兩個執行個體的安全群組均允許流量在執行個體之間流動。每個執行個體的安全性群組都必須參照另一個執行個體的私有 IP 位址,或是包含另一個執行個體的子網路CIDR範圍做為來源。如果您參考另一個執行個體的安全群組作為來源,這不會允許流量在執行個體之間流動。
範例
下圖顯示了兩個可用區域中的子網路、一VPC個網際網路閘道和一個 Application Load Balancer。每個可用區域都有一個用於 Web 伺服器的公用子網路,以及一個用於資料庫伺服器的私有子網路。負載平衡器、Web 伺服器和資料庫伺服器有個別的安全群組。建立下列安全群組規則以允許流量。
-
將規則新增至負載平衡器安全性群組,以允許HTTP和來自網際網路的HTTPS流量。來源是 0.0.0.0/0。
-
將規則新增至安全性群組,讓 Web 伺服器允許,以HTTP及僅來自負載平衡器的HTTPS流量。來源是負載平衡器的安全群組。
-
將規則新增至資料庫伺服器的安全群組,以允許來自 Web 伺服器的資料庫請求。來源是 Web 伺服器的安全群組。
![具有 Web 和資料庫伺服器、安全群組、網際網路閘道和負載平衡器的架構](images/security-group-referencing.png)
安全群組大小
來源或目的地類型會決定每個規則如何計入每個安全群組可擁有的規則數目上限。
-
參考CIDR圖塊的規則算作一個規則。
-
參考另一個安全群組的規則會計為一個規則,無論參考之安全群組的大小為何。
-
參考客戶管理之字首清單的規則會計為字首清單的大小上限。例如,如果字首清單的大小上限為 20,則參考此字首清單的規則會計為 20 個規則。
-
參考 AWS-managed 前置詞清單的規則會計為首碼清單的權重。例如,如果字首清單的權重為 10,則參考此字首清單的規則會計為 10 個規則。如需詳細資訊,請參閱可用的 AWS託管前綴列表。
過時的安全群組規則
如果您與另一個帳戶VPC有VPC對等連線VPC,或使用另一個帳戶VPC共用的安全性群組規則,則您中的安全性群組規則VPC可以參考該對等VPC或共VPC用的安全性群組。這可讓與被參考安全群組相關聯的資源,以及與參考安全群組相關聯的執行個體彼此通訊。如需詳細資訊,請參閱 Amazon 對等互VPC連指南中的更新安全群組以參考對等安全群組。
如果您有參考對等VPC或共用中安全性群組的安全性群組規則,VPC且共用中的安全性群組VPC已刪除或刪除VPC對等連線,則安全性群組規則會標示為過時。如同任何其他的安全群組規則,您可以刪除過時的安全群組規則。