# 变更安全组规则和网络ACL规则时，是否对原有流量实时生效？
- 安全组使用连接跟踪来标识进出实例的流量信息，入方向安全组的规则变更，对原有流量立即生效。出方向安全组规则的变更，不影响已建立的长连接，只对新建立的连接生效。
  当您在安全组内增加、删除、更新规则，或者在安全组内添加、移出实例时，详细说明如下：
  - 由入方向流量建立的连接，系统会根据[表1]中的场景，自动清理已有长连接对应的连接跟踪，即让连接跟踪提前老化，然后重新建立连接并匹配新的安全组入方向规则。
    - 若安全组规则允许该连接对应的流量通过，则连接能够成功建立，网络通信不会受影响。
    
    - 若安全组规则拒绝该连接对应的流量通过，则连接无法再次建立，网络通信将中断。
    
    
     表1连接跟踪的清理场景及清理策略说明 
    | 操作场景            | 连接跟踪的清理策略                                                                                                                                                                                                                                                     |
    |:---|:---|
    | 在安全组A内**添加实例**  | - 对于安全组A内新添加的实例，清理该实例入方向的连接跟踪  - 当其他安全组（例如安全组B）的入方向中存在**拒绝**安全组A访问的规则，则清理安全组B内所有实例的入方向连接跟踪   |
    | 在安全组A内**移除实例**  | - 清理安全组A内所有实例的入方向连接跟踪  - 当其他安全组（例如安全组B）的入方向中存在**允许**安全组A访问的规则，则清理安全组B内所有实例的入方向连接跟踪               |
    | 在安全组A内**添加规则**  | 当在**入方向或者出方向** 中**添加** **拒绝访问**的规则，则清理安全组A内所有实例的入方向连接跟踪                                                                                                                                                                                                       |
    | 在安全组A内**删除规则**  | 当在入方向中**删除允许** **访问**的规则，则清理安全组A内所有实例的入方向连接跟踪                                                                                                                                                                                                                 |
    | 在安全组A内**修改规则**  | 当在入方向中修改规则的优先级、策略、协议端口或者源地址时，则清理安全组A内所有实例的入方向连接跟踪                                                                                                                                                                                                             |
    | 在安全组A内**启用规则**  | 当在**入方向或者出方向** 中**启用** **拒绝访问**的规则，则清理安全组A内所有实例的入方向连接跟踪                                                                                                                                                                                                       |
    | 在安全组A内**停用规则**  | 当在入方向中**停用允许** **访问**的规则，则清理安全组A内所有实例的入方向连接跟踪                                                                                                                                                                                                                 |
    | 修改IP地址组内的IP地址条目 | 当安全组A内的入方向规则中，存在**关联IP地址组的规则** ，则**添加或者删除该IP地址组条目**时，会清理安全组A内所有实例的入方向连接跟踪                                                                                                                                                                                     |
       
    
  
  - 由出方向流量建立的连接，已建立的长连接不会断开，依旧遵循原有安全组规则。出方向流量新建立的连接，将会匹配新的安全组出方向规则。
    
- 网络ACL使用连接跟踪来标识进出实例的流量信息，入方向和出方向网络ACL规则配置变更，对原有流量不会立即生效。 当您在网络ACL内增加、删除、更新规则，或者在网络ACL内添加、移出子网时，由入方向/出方向流量建立的连接，已建立的长连接不会断开，依旧遵循原有网络ACL规则。入方向/出方向流量新建立的连接，将会匹配新的网络ACL出方向规则。
  
![](https://support.huaweicloud.com/vpc_faq/public_sys-resources/note_3.0-zh-cn.png)
**对于已建立的长连接，流量断开后，不会立即建立新的连接，需要超过连接跟踪的老化时间后，才会新建立连接并匹配新的规则。**比如，对于已建立的ICMP协议长连接，当流量中断后，需要超过老化时间30s后，将会新建立连接并匹配新的规则，详细说明如下：
- **不同协议的连接跟踪老化时间不同**，比如已建立连接状态的TCP协议连接老化时间是600s，ICMP协议老化时间是30s。对于除TCP和ICMP的其他协议，如果两个方向都收到了报文，连接老化时间是180s，如果只是单方向收到了报文，另一个方向没有收到报文，则连接老化时间是30s。
- **TCP协议处于不同状态下的连接老化时间也不相同**，比如TCP连接处于ESTABLISHED（连接已建立）状态时，老化时间是600s，处于FIN-WAIT（连接即将关闭）状态时，老化时间是30s。