¿Cómo configurar un grupo de seguridad?
Las instancias DCS Redis 3.0/4.0/5.0/6.0 y Memcached se despliegan en diferentes modos. Por lo tanto, el método de control de acceso varía.
- Para controlar el acceso a las instancias de la edición profesional de DCS Redis 3.0, Memcached y Redis 6.0, puede utilizar grupos de seguridad. Las listas blancas no son compatibles. Las operaciones del grupo de seguridad se describen en esta sección.
- Para controlar el acceso a las instancias de DCS Redis 4.0/5.0/6.0 edición básica, puede utilizar listas blancas. No se admiten grupos de seguridad. Las operaciones de la lista blanca se describen en Gestión de la lista blanca de direcciones IP.
A continuación se describe cómo configurar los grupos de seguridad para intra-VPC access y public access para las instancias de la edición profesional de DCS Redis 3.0, Memcached y Redis 6.0.
Acceso dentro de la VPC a las instancias de la edición profesional de DCS Redis 3.0, Memcached y Redis 6.0
Un ECS puede comunicarse con una instancia de DCS si pertenecen a la misma VPC y las mismas reglas de subred y grupo de seguridad están configuradas correctamente.
- Si la instancia de ECS y de DCS están configuradas con el mismo grupo de seguridad, el acceso a la red en el grupo no está restringido de forma predeterminada.
- Si la instancia de ECS y de DCS están configuradas con diferentes grupos de seguridad, agregue reglas de grupo de seguridad para asegurarse de que la instancia de ECS y de DCS puedan tener acceso entre sí.
- Se supone que el ECS en el que se ejecuta el cliente pertenece al grupo de seguridad sg-ECS y que la instancia de DCS a la que accederá el cliente pertenece al grupo de seguridad sg-DCS.
- A continuación se utiliza el puerto 6379 para instancias de DCS Redis 3.0 como ejemplo. Para otros casos, utilice el puerto real.
- El extremo remoto es un grupo de seguridad o una dirección IP.
- Configuración del grupo de seguridad para el ECS.
Agregue la siguiente regla de salida para permitir que el ECS acceda a la instancia de DCS. Omita esta regla si no hay restricciones en el tráfico saliente.
- Configuración del grupo de seguridad para la instancia de DCS.
Para asegurarse de que el cliente puede acceder a la instancia de DCS, agregue la siguiente regla de entrada al grupo de seguridad configurado para la instancia de DCS:
Para la dirección IP de origen, utilice la dirección IP especificada de la instancia de DCS. Evite usar 0.0.0.0/0 para evitar que los ECS vinculados al mismo grupo de seguridad sean atacados por vulnerabilidades de Redis.
Acceso público a las instancias de DCS Redis 3.0
Un cliente puede acceder a una instancia de DCS solo después de que las reglas estén correctamente configuradas para el grupo de seguridad de la instancia.
Por ejemplo, para sg-DCS de grupo de seguridad, debe configurar las siguientes reglas en la dirección entrante:
Establezca el protocolo en TCP y la dirección IP de origen en 0.0.0.0/0 o una dirección de cliente especificada. Si SSL está habilitado, establezca el número de puerto en 36379. Si SSL está deshabilitado, establezca el número de puerto en 6379. Consulta la siguiente figura.
Grupo de seguridad de una tarea de migración
- Cuando cree una tarea de migración en línea, seleccione un grupo de seguridad. Sus reglas de salida deben permitir el tráfico a través de las direcciones IP y los puertos de las instancias de origen y destino de Redis. De forma predeterminada, se permite todo el tráfico saliente.
- La importación de copias de respaldo utiliza el grupo de seguridad default. Asegúrese de que todo el tráfico saliente está permitido (esta es la configuración predeterminada)
Figura 2 Reglas de salida del grupo de seguridad de migración
