文档首页> 部署 CodeArts Deploy> 用户指南> 基础资源管理> 主机集群管理> 主机连通方式> 安全配置
更新时间：2024-03-04 GMT+08:00
查看PDF

安全配置

为确保主机连通性验证通过，您需要对机器进行以下配置操作：

配置安全组

请在进行主机连通性验证前配置安全组，将部分端口开放，否则会出现连通性验证失败的情况（以Linux系统机器为例）。

  1. 进入控制台，在页面左上角单击“服务列表 > 计算 > 弹性云服务器”，进入“弹性云服务器”界面。
  2. 单击目标弹性云服务器名称，进入弹性云服务器详情页面，选择“安全组”页签，如下图所示，单击“ID”，单击操作栏的“配置规则 > 入方向规则”配置入方向规则。

  3. 单击“快速添加规则”，做如下设置：

    • Linux系统机器需在入方向规则中开放22端口，Windows系统机器需在入方向规则中开放54、5985、5986端口，即添加目标主机/代理主机时添加的端口，远端设置为0.0.0.0/0（面向全IP开放以上端口）。

      如果您对整体部署过程的安全性有较高的要求，不能面向全IP开放以上端口，那您至少需要将以下IP地址加入安全组并放开端口限制，否则将无法进行主机连通性验证。

      中国站全部区域（Region）：

      新加坡站：

      114.119.185.21

      圣保罗站：

      159.138.214.24

      墨西哥站：

      122.8.183.54
110.238.80.148

      以上IP地址均为部署服务官方资源池对外开放IP，用于与目标主机、代理主机通信。

    • 将主机部署的应用的端口的入方向放开限制（如Tomcat应用的8080端口，或者其他应用的所有端口的入方向必须打开），否则将访问不到该应用。
    • 出方向不做限制或者至少可以访问80端口和443端口。

配置防火墙

检查机器的防火墙配置，配置防火墙允许SSH协议端口被访问，否则会导致连通性验证失败，以下详细介绍不同操作系统的防火墙配置方式。

Linux防火墙配置方式

表1 Linux防火墙配置方式

操作系统系列

配置方式

CentOS/EulerOS系列/UnionTechOS
  1. 查看本机是否安装SSH软件包。
    rpm -qa | grep ssh
  2. 如果没有SSH软件包，执行以下命令。
    yum install openssh-server
  3. 开启SSH服务。
    service sshd start
  4. 打开sshd的配置文件。
    vi /etc/ssh/sshd_config
  5. 去除监听端口前的注释。
  6. 重启SSH服务。
    sudo service sshd start
  7. 查看是否开放22端口。
    netstat -ntpl | grep 22

Debian系列
  1. 以root身份登录系统，安装ufw。
    apt install ufw
  2. 开放22端口。
    ufw allow 22/tcp
  3. 查看是否开放22端口。
    ufw status

Ubuntu系列
  1. 查看本机IP。
    ifconfig
  2. 查看22端口是否被占用。
    netstat -nltp|grep 22
  3. 若无端口进程，依次执行以下命令。
    sudo apt-get install openssh-server
sudo apt-get install ufw
sudo ufw enable
sudo ufw allow 22

Windows防火墙配置方式

本节操作以Windows2012操作系统为例。

  1. 在Windows主机的控制面板中选择“Windows 防火墙设置”。

  2. 选择“高级设置”。

  3. 选择“入站规则”。

  4. 选择“新建规则”。

  5. 规则类型选择“端口”，然后单击“下一步”。

  6. 协议和端口分别勾选“TCP”和“特定本地端口”，端口号设置为5986，然后单击“下一步”。

  7. 操作选择“允许连接”，然后单击“下一步”。

  8. 配置文件选择全部，然后单击“下一步”。

  9. 最后，输入规则名称，单击“完成”。

配置黑/白名单

在使用官方资源池场景中，基于安全机制考虑，您可以将使用的IP地址加入防火墙白名单，并检查是否被防火墙拦截。

IP白名单相关指令

  • 查看是否有被拒绝的请求IP，命令如下：
    vi /var/log/secure
  • 查看主机黑名单中是否加入了以上被拒绝IP，如果有请从黑名单中去除，命令如下：
    vi /etc/hosts.deny
  • 将需要的IP加入白名单，例如：
    vi /etc/hosts.allow 
sshd:***.***.***.***:allow        #此处使用需要加入白名单的IP
父主题： 主机连通方式