# 安全组规划
#### 安全组规划
SAP安全组规划
安全组规划要根据SAP的主机间通信要求制定，主要需要考虑管理平面，内部通信平面要求，并与网络部门合作完成安全组设置，具体的SAP对安全组规则的要求请参考[TCP/IP ports used by SAP Applications](https://help.sap.com/viewer/ports)。
安全组规划要根据SAP的主机间通信要求制定，主要安全组规则请参考下表进行设定。
![](https://support.huaweicloud.com/sapdb2-ctf/public_sys-resources/note_3.0-zh-cn.png)
- 网段信息与IP地址信息请根据实际部署规划。下面的安全组规则仅是推荐的最佳实践，用户可根据自身的特殊要求，设置安全组规则。
- 下表中，##表示SAP的实例编号，此处需要与安装SAP软件时指定的实例编号保持一致，如有多个实例编号，依次填写
 
表1SAP 节点安全组规则 
| 源地址/目的地址     | 协议  | 端口范围           | 说明                                                            |
|:---|:---|:---|:---|
| 入方向                                                                                              ||||
| 系统自动指定       | 全部  | 全部             | 系统默认创建的安全组规则。 允许属于同一个安全组的云服务器互相通信。 |
| 10.10.1.0/24 | TCP | 32##           | 允许SAP GUI访问SAP。                                               |
| 10.10.1.0/24 | TCP | 36##           | Message Port with profile parameter rdisp/msserv。             |
| 10.10.1.0/24 | TCP | 5##13 \~ 5##14 | 允许ASCS访问SAP Application Server。                               |
| 10.10.1.0/24 | TCP | 33##，38##，48## | CPIC和RFC所使用的端口。                                               |
| 10.10.1.0/24 | TCP | 22             | 允许以SSH协议访问SAP。                                                |
| 10.10.1.0/24 | TCP | 123            | 允许其他服务器向SAP 进行时间同步。                                           |
| 出方向                                                                                              ||||
| 全部           | 全部  | 全部             | 系统默认创建的安全组规则。 允许SAP访问全部对端          |