创建安全组

操作场景

安全组实际是网络流量访问策略，由入方向规则和出方向规则共同组成。

您在创建实例时（如ECS），必须将实例加入一个安全组，如果此前您还未创建任何安全组，那么系统会自动为您创建默认安全组并关联至该实例。除了默认安全组，您还可以创建自定义安全组，并配置安全组规则控制特定流量的访问请求。

预设安全组说明

创建安全组的时候，您可以选择系统预设规则。安全组预设规则中预先配置了入方向规则和出方向规则，您可以根据业务选择所需的预设规则，快速完成安全组的创建。

预设安全组：通用Web服务器

适用场景：

• 外部远程登录安全组内实例；
• 外部使用ping命令验证安全组内实例的网络连通性；
• 安全组内实例用作Web服务器对外提供网站访问服务。

预设安全组：开放全部端口

适用场景：

• 开放全部端口即允许任意流量出入安全组内的实例。

注意
此操作存在一定安全风险，请您谨慎选择。

预设安全组：自定义

适用场景：

• 该预设规则的入方向未放通任何端口，即外部任意流量均无法流入安全组内实例。请您根据业务需求自行添加安全组规则。

操作步骤

1. 登录管理控制台，进入“虚拟私有云>访问控制>安全组”。
2. 在安全组列表右上方，单击“创建安全组”，进入“创建安全组”页面。
3. 根据界面提示，设置安全组参数，设置完成后，点击“确定”，完成安全组创建。

以下是安全组参数说明表。

添加安全组规则

操作场景

安全组实际是网络流量访问策略，由入方向规则和出方向规则共同组成。常见的安全组规则应用场景包括：允许或者拒绝特定来源的网络流量、允许或拒绝特定协议的网络流量、屏蔽不需要开放的端口、以及配置服务器的特定访问权限等。

使用须知

配置安全组规则前，您需要规划好安全组内实例的访问策略。

安全组的规则数量有限制，请您尽量保持安全组内规则的简洁。

在安全组规则中放开某个端口后，您还需要确保实例内对应的端口也已经放通，安全组规则才会对实例生效。

安全组入方向规则的源地址设置为0.0.0.0/0或::/0，表示允许或拒绝所有外部IP地址访问您的实例，如果将“22、3389、8848”等高危端口暴露到公网，可能导致网络入侵，造成业务中断、数据泄露或数据勒索等严重后果。建议您将安全组规则设置为仅允许已知的IP地址访问。

通常情况下，同一个安全组内的实例默认网络互通。当同一个安全组内实例网络不通时，可能情况如下有：

• 当实例属于同一个VPC时，请您检查入方向规则中，是否删除了同一个安全组内实例互通对应的规则。
• 不同VPC的网络不通，所以当实例属于同一个安全组，但属于不同VPC时，网络不通。

在安全组内添加安全组规则

1. 登录管理控制台，进入“虚拟私有云>访问控制>安全组”。
2. 在安全组列表中，单击目标安全组所在行的操作列下的“配置规则”，进入安全组规则配置页面。
3. 在“入方向规则”页签，单击“添加规则”，弹出“添加入方向规则”对话框。
4. 根据界面提示，设置入方向规则参数，单击“新增”按钮，可以依次增加多条入方向规则。
5. 入方向规则设置完成后，单击“确定”，返回入方向规则列表，可以查看添加的入方向规则。
6. 在“出方向规则”页签，单击“添加规则”，弹出“添加出方向规则”页签。
7. 根据界面提示，设置出方向规则参数，单击“新增”按钮，可以依次增加多条出方向规则。
8. 出方向规则设置完成后，单击“确定”，返回出方向规则列表，可以查看添加的出方向规则。

下表是入、出方向规则参数说明表。

检查安全组规则是否生效

在安全组规则中放开某个端口后，您还需要确保实例内对应的端口也已经放通，安全组规则才会对实例生效。

假设您在某台ECS上部署了网站，希望用户能通过HTTP(80)端口访问到您的网站，则您需要先在ECS所在安全组的入方向中，添加下表中的规则，放通HTTP(80)端口。

安全组规则添加完成后，您需要执行以下操作，检查云主机内端口开放情况，并验证配置是否生效。

登录云主机，检查云主机端口开放情况。

检查Linux云主机端口：执行命令netstat -an | grep 80，查看TCP 80端口是否被监听。

若回显类似下图所示，说明80端口已开通。

检查Windows云主机端口：打开命令执行窗口（CMD），执行命令netstat -an | findstr 80，查看TCP 80端口是否被监听。

若回显类似下图所示，说明80端口已开通。

打开浏览器，在地址栏里输入“http://云主机的弹性公网IP地址”。如果访问成功，说明安全组规则已经生效。