# 配置安全组规则 #### 使用场景 安全组创建后，您可以在安全组中设置出方向、入方向规则，这些规则会对安全组内部的实例出入方向网络流量进行访问控制，当实例加入该安全组后，即受到这些访问规则的保护。 - 入方向：指从外部访问安全组规则下的实例。 - 出方向：指安全组规则下的实例访问安全组外的实例。 常用的安全组规则配置示例请参见[安全组配置示例](https://support.huaweicloud.com/usermanual-iec/iec_02_0616.html)。 #### 约束与限制 - 由于归属于不同虚拟私有云的多个实例网络不连通，则为同一个安全组下归属于不同的虚拟私有云的多个实例配置网络连通的访问规则是不生效的。 - 由于归属于不同边缘站点的多个子网之间网络不连通，则为安全组配置跨站点多个子网连通的访问规则是不生效的。 - 系统默认一个华为云账号最多创建10000个安全组规则。如果您需要创建更多个安全组规则，请[申请扩大配额](https://support.huaweicloud.com/usermanual-iec/iec_02_1100.html#iec_02_1100__section2522135824818)。 #### 操作步骤 1. 登录[IEC控制台](https://console.huaweicloud.com/iecs)。 2. 单击"边缘网络 \> 安全组"。 3. 在"安全组"列表界面，单击操作列的"配置规则"，或者单击"名称"列安全组的名称，进入安全组详情界面。 4. 在入方向规则页签，单击"添加"，添加入方向规则。 - 单击"+"可以依次增加多条入方向规则。 - 单击规则所在行的"复制"可以根据需要修改安全组规则，然后快速生成一条新的安全组规则。 表1入方向参数说明 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 优先级 | 安全组规则优先级。 优先级可选择范围为1-100，默认值为1，即最高优先级。优先级数字越小，规则优先级别越高。 | - | | 策略 | 安全组规则策略。 优先级相同的情况下，拒绝策略优先于允许策略。 | - | | 协议端口 | 网络协议。目前支持"全部"、"TCP"、"UDP"、"ICMP"和"GRE"等协议。 | - | | 协议端口 | 端口：允许远端地址访问实例指定端口，取值范围为：1～65535。常用端口请参见[实例常用端口](https://support.huaweicloud.com/usermanual-iec/iec_02_0617.html)。 端口填写包括以下形式： - 单个端口：例如22 - 连续端口：例如22-30 - 全部端口：为空或1-65535 | - | | 类型 | IP地址类型。 - IPv4 - IPv6 | - | | 源地址 | 源地址：可以是IP地址、边缘安全组。例如： - 单个IP地址：192.168.10.10/32（IPv4地址）；2002:50::44/127（IPv6地址） - IP地址段：192.168.1.0/24（IPv4地址段）；2407:c080:802:469::/64（IPv6地址段） - 所有IP地址：0.0.0.0/0（IPv4任意地址）；::/0（IPv6任意地址） | - | | 描述 | 安全组规则的描述信息，非必填项。 描述信息内容不能超过64个字符，且不能包含"\<"和"\>"。 | - | 5. 在出方向规则页签，单击"添加"，添加出方向规则。 - 单击"+"可以依次增加多条出方向规则。 - 单击规则所在行的"复制"可以根据需要修改安全组规则，然后快速生成一条新的安全组规则。 表2出方向参数说明 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 优先级 | 安全组规则优先级。 优先级可选择范围为1-100，默认值为1，即最高优先级。优先级数字越小，规则优先级别越高。 | - | | 策略 | 安全组规则策略。 优先级相同的情况下，拒绝策略优先于允许策略。 | - | | 协议端口 | 网络协议。目前支持"全部"、"TCP"、"UDP"、"ICMP"和"GRE"等协议。 | - | | 协议端口 | 端口：允许实例访问远端地址指定端口，取值范围为：1～65535。常用端口请参见[实例常用端口](https://support.huaweicloud.com/usermanual-iec/iec_02_0617.html)。 端口填写包括以下形式： - 单个端口：例如22 - 连续端口：例如22-30 - 全部端口：为空或1-65535 | - | | 类型 | IP地址类型。 - IPv4 - IPv6 | - | | 目的地址 | 目的地址：可以是IP地址、边缘安全组。例如： - 单个IP地址：192.168.10.10/32（IPv4地址）；2002:50::44/127（IPv6地址） - IP地址段：192.168.1.0/24（IPv4地址段）；2407:c080:802:469::/64（IPv6地址段） - 所有IP地址：0.0.0.0/0（IPv4任意地址）；::/0（IPv6任意地址） | - | | 描述 | 安全组规则的描述信息，非必填项。 描述信息内容不能超过64个字符，且不能包含"\<"和"\>"。 | - | 6. 单击"确定"。 #### 结果验证 安全组规则配置完成后，我们需要验证对应的规则是否生效。假设您在实例上部署了网站，希望用户能通过TCP（80端口）访问到您的网站，您添加了一条入方向规则，如[表3]所示。 表3安全组规则 | 方向 | 优先级 | 策略 | 类型 | 协议 | 端口/范围 | 源地址 | |:---|:---|:---|:---|:---|:---|:---| | 入方向 | 1 | 允许 | IPv4 | TCP | 80 | 0.0.0.0/0 | Linux实例上验证该安全组规则是否生效的步骤如下所示。 1. 登录实例。 2. 运行如下命令查看TCP 80端口是否被监听。 ``` netstat -an | grep 80 ``` 3. 如果返回结果如[图1]所示，说明TCP 80端口已开通。 图1Linux TCP 80端口验证结果 ![](https://support.huaweicloud.com/usermanual-iec/zh-cn_image_0233404180.png "点击放大") 4. 在浏览器地址栏里输入"http://实例的弹性公网IP地址"。 如果访问成功，说明安全组规则已经生效。