# 安全组规划
#### SAP HANA安全组规划
![](https://support.huaweicloud.com/saphas-ctf/public_sys-resources/note_3.0-zh-cn.png)
- 网段信息与IP地址信息均为示例，请根据实际规划。下面的安全组规则仅是推荐的最佳实践，租户根据自己的特殊要求，可设置自己的安全组规则。

- 下表中，##表示SAP HANA的实例编号，例如"00"。此处需要与安装SAP HANA软件时指定的实例编号保持一致，SAP HANA实例编号规划请参考[2.1.5 云服务器规划](https://support.huaweicloud.com/saphas-ctf/saphas_08.html)。

- 更多有关于SAP需要访问的特定端口和相应安全组规则，请参见[SAP官方文档](https://help.sap.com/viewer/575a9f0e56f34c6e8138439eefc32b16/2.0/en-US/616a3c0b1cc748238de9c0341b15c63c.html)。
 
表1SAP HANA安全组规则 
| 源地址/目的地址    | 协议  | 端口范围       | 说明                                                                                            |
|:---|:---|:---|:---|
| 入方向                                                                                                                         ||||
| 系统自动指定      | 全部  | 全部         | 系统默认创建的安全组规则。 允许属于同一个安全组的云服务器互相通信。                                  |
| 0.0.0.0     | TCP | 22         | 允许租户侧网络以SSH协议，访问SAP HANA Studio。 仅在SAP HANA Studio部署在Linux上时需要创建。   |
| 0.0.0.0     | TCP | 3389       | 允许租户侧网络以RDP协议，访问SAP HANA Studio。 仅在SAP HANA Studio部署在Windows上时需要创建。 |
| 10.0.3.0/24 | TCP | 80（HTTP）   | 允许租户侧网络以HTTP协议访问NAT Server。                                                                   |
| 10.0.3.0/24 | TCP | 443（HTTPS） | 允许租户侧网络以HTTPS协议访问NAT Server。                                                                  |
| 10.0.3.0/24 | TCP | 1128-1129  | 允许以SOAP/HTTP协议访问SAP Host Agent。                                                               |
| 10.0.3.0/24 | TCP | 43##       | 允许从10.0.3.0/24子网以HTTPS协议访问XSEngine。                                                           |
| 10.0.3.0/24 | TCP | 80##       | 允许从10.0.3.0/24子网以HTTP协议访问XSEngine。                                                            |
| 10.0.3.0/24 | TCP | 8080       | 允许Software Update Manager (SUM)以HTTP协议访问SAP HANA。                                             |
| 10.0.3.0/24 | TCP | 8443       | 允许Software Update Manager (SUM)以HTTPS协议访问SAP HANA。                                            |
| 10.0.3.0/24 | TCP | 3##13      | 允许SAP HANA Studio访问SAP HANA。                                                                  |
| 10.0.3.0/24 | TCP | 3##15      | 业务平面所使用的端口。                                                                                   |
| 10.0.3.0/24 | TCP | 3##17      | 业务平面所使用的端口。                                                                                   |
| 10.0.3.0/24 | TCP | 5##13      | 允许SAP HANA Studio访问sapstartsrv。                                                               |
| 出方向                                                                                                                         ||||
| 全部          | 全部  | 全部         | 系统默认创建的安全组规则。 允许SAP HANA访问全部对端                                      |
   
#### SAP S/4HANA安全组规划
安全组规划要根据SAP的主机间通信要求制定，主要需要考虑管理平面，内部通信平面要求，并与网络部门合作完成安全组设置，具体的SAP对安全组规则的要求请参考[TCP/IP ports used by SAP Applications](https://help.sap.com/viewer/ports)。
安全组规划要根据SAP的主机间通信要求制定，主要安全组规则请参考[表2]进行设定。
![](https://support.huaweicloud.com/saphas-ctf/public_sys-resources/note_3.0-zh-cn.png)
- 网段信息与IP地址信息请根据实际部署规划。下面的安全组规则仅是推荐的最佳实践，用户可根据自身的特殊要求，设置安全组规则。

- 下表中，##表示SAP S/4HANA的实例编号，此处需要与安装SAP S/4HANA软件时指定的实例编号保持一致。
 
 表2SAP S/4HANA节点安全组规则 
| 源地址/目的地址    | 协议  | 端口范围           | 说明                                                           |
|:---|:---|:---|:---|
| 入方向                                                                                            ||||
| 系统自动指定      | 全部  | 全部             | 系统默认创建的安全组规则。 允许属于同一个安全组的云服务器互相通信。 |
| 10.0.3.0/24 | TCP | 32##           | 允许SAP GUI访问SAP S/4HANA。                                      |
| 10.0.3.0/24 | TCP | 36##           | Message Port with profile parameter rdisp/msserv。            |
| 10.0.3.0/24 | TCP | 5##13 \~ 5##14 | 允许ASCS访问SAP Application Server。                              |
| 10.0.3.0/24 | TCP | 33##，38##，48## | CPIC和RFC所使用的端口。                                              |
| 10.0.3.0/24 | TCP | 22             | 允许以SSH协议访问SAP S/4HANA。                                       |
| 10.0.3.0/24 | TCP | 123            | 允许其他服务器向SAP S/4HANA进行时间同步。                                   |
| 出方向                                                                                            ||||
| 全部          | 全部  | 全部             | 系统默认创建的安全组规则。 允许SAP S/4HANA访问全部对端  |